网络空间安全实训-渗透测试

• 文件上传攻击

  • 定义

    • 将Webshell文件上传到网站服务器上，从而获得网站整台服务器控制权限的攻击方式

  • Webshell

    • 一种以网页形式存在的命令行执行环境，又称网页木马

    • 分类

      • 一句话木马

        • 只有一行代码，功能强大，可以实现对服务器的完全控制

        • 需要专用的Webshell连接工具

      • 小马

        • 代码量比较少，文件大小只有十几K或几十K，功能相对较单一

        • 不需要专用连接工具，可以直接通过浏览器访问小马来控制服务器

      • 大马

        • 代码量比较多，文件大小一般有100K左右，功能比较全面

        • 不需要专用连接工具

  • 一句话木马

    • PHP

      • <?php @eval($_POST["xxx"]);?>

  • 文件上传的防御和绕过

    • 1.检查上传文件的content-type，对于不合法的文件类型拒绝上传

      • Burpsuite抓包修改content-type

    • 2.检查上传文件的后缀名，对不合法的后缀名文件拒绝上传

• 命令包含攻击

  • 定义

    • 在具备命令执行功能的网页中，插入用户自行构造的系统命令提交给网站并且在系统中被执行的攻击

    • 命令包含的连接符

      • &

      • &&

      • |

      • ||

  • 常见的防御方法

    • 对用户提交的内容进行安全检查，将特殊符号进行过滤