前段时间我们SINE安全收到客户的渗透测试服务委托,在这之前,客户网站受到攻击,数据被篡改,要求我们对网站进行全面的渗透测试,包括漏洞的检测与测试,逻辑漏洞.垂直水平越权漏洞,文件上传漏洞.等等服务项目,在进行安全测试之前,我们对客户的网站大体的了解了一下,整个平台网站,包括APP,安卓端,IOS端都采用的JSP+oracle数据库架构开发,前端使用VUE,服务器是linux centos系统.下面我们将渗透测试过程里,对文件上传漏洞的检测与webshell的分析进行记录,希望更多的人了解什么是渗透测试.

我们直击漏洞根源,查看代码在uplpod.php文件里,可以看到有个lang变量给了language.php,并附加条件,设置的指定文件都存在,才可以将参数值传递过去,代码截图如下:

仔细看,我们看到代码调用了save_file的调用方式,由此可以导致langup值可以伪造,追踪溯源看到该值是对应的WEB前端用户的文件上传功能,在用户文件上传这里,并没有做安全效验与安全白名单拦截机制,导致可以重命名,直接将.jsp的脚本文件上传到网站的根目录下,包括APP也存在该漏洞.

我们SINE安全技术来渗透测试复现一下该文件上传漏洞是如何利用的,首先登录会员,并打开个人资料页面,有个文件上传功能,里面只允许上传图片格式的文件,只允许上传JPG,PNG,GIF,等后缀名的文件,以普通的图片文件来上传,我们抓取POST的上传数据包,将cont1的路径地址改为/beifen/1.jsp,并提交过去,返回数据为成功上传.复制路径,浏览器里打开,发现我们上传的JSP脚本文件执行了,也再一次的证明该漏洞是足以导致网站数据被篡改的,在这之前客户的网站肯定被上传了webshell网站木马文件,随即我们对客户的网站源代码进行全面的人工安全检测与分析,对一句话木马特制eval,加密,包括文件上传的时间点,进行检查,发现在网站的JS目录下存在indax.jsp,浏览器里打开访问,是一个JSP的脚本木马,可以对网站进行篡改,下载代码,新建文件,等网站管理员的操作,同理APP端也是存在同样的漏洞.调用的文件上传功能接口是一样.具体的webshell截图如下:

到这里我们只是渗透测试的一方面,主要是检测的文件上传功能是否存在漏洞,是否可以重命名,自定义上传路径以及文件格式绕过,关于渗透测试中发现的文件上传漏洞如何修复,我们SINE安全给大家一些修复建议与办法,首先对文件的上传格式进行限制,只允许白名单里的jpg,png,gif等格式的文件上传,对自定义的路径地址进行变量覆盖,不允许更改路径地址.对上传的目录做脚本的安全限制,去除JSP的脚本执行权限.

java webshell_网站漏洞测试 关于webshell木马后门检测相关推荐

  1. 阿里云提醒 网站被WebShell木马后门的处理过程

    昨晚凌晨收到新客户的安全求助,说是阿里云短信提示,网站有webshell木马文件被植入,我们SINE安全公司立即成立,安全应急响应小组,客户提供了阿里云的账号密码,随即登陆阿里云进去查看到详情,登陆云 ...

  2. 网站漏洞测试分析查找问题攻防演练

    漏洞分析和渗透测试是网站安全攻击和防御演习攻击者的常用方法.通过收集目标系统的信息和综合分析,使用适当的攻击工具对目标系统的安全漏洞进行相关分析,验证漏洞的使用方法和难度,并通过各种攻击方法找到潜在漏 ...

  3. 网站漏洞测试怎么做？软件渗透测试解决方案

    随着互联网软件的蓬勃发展,对于软件安全性能的要求也越来越高,试想一下,用户在使用网站时因为网站存在的漏洞而不小心泄露用户隐私数据,或者被漏洞进一步操作账户,都会造成不可挽回的损失,所以很多开发方在软件 ...

  4. 网站被黑中毒WebShell木马的解决方案

    收到客户的反馈,说运行了一年的网站突然遭到黑客的攻击,系统cpu一直保持在100%,有进程也干不掉,然后客户就进行杀毒了,然后就把所有的exe文件都杀了,然后系统也就很多功能不正常了,数据库的服务也干 ...

  5. 阿里云盾提醒网站被WebShell木马后门分析与对策

    收到阿里云用户朋友的反馈,说运行了一年的网站突然遭到黑客的攻击,系统cpu一直保持在100%,有进程也干不掉,然后客户就进行杀毒了,然后就把所有的exe文件都杀了,然后系统也就很多功能不正常了,数据库 ...

  6. java webshell_几种典型 JSP WebShell 的深度解析

    该 WebShell 只有下载文件的功能,无法执行系统命令.传入文件名称和文件下载 URL,连接该 WebShell: 下载完成之后,在当前路径下生成 1.png 文件: 3.1 代码分析: 获取参数 ...

  7. 网络安全分析 | 用OpenFEA定位WebShell木马后门

    2019独角兽企业重金招聘Python工程师标准>>> webshell是什么?它是以asp.PHP.jsp或者cgi等网页文件形式存在的一种命令执行环境,也可以将其称做为一种网页后 ...

  8. 渗透测试服务 甲方公司OA网站系统漏洞测试

    渗透测试服务,是甲方授权乙方安全公司对自身的网站,以及APP,办公系统进行的全面人工安全渗透,对漏洞的检测与测试,包括SQL注入漏洞,XSS存储漏洞,反射漏洞,逻辑漏洞,越权漏洞,我们SINE安全公司 ...

  9. 网站漏洞如何修复web漏洞jeecms

    jeecms 最近被爆出高危网站漏洞,可以导致网站被上传webshell木马文件,受影响的版本是jeecms V6.0版本到jeecmsV7.0版本.该网站系统采用的是JAVA语言开发,数据库使用的是 ...

最新文章

  1. ecshop资料网址
  2. 常考数据结构与算法:找到字符串的最长无重复字符子串
  3. spring定时器分析
  4. linux中没有semanagea安装包,如何使用semanage管理SELinux安全策略
  5. Dom4j完整教程~XML文档简单操作
  6. GridView xml中设置android:focusable=false无效的原因
  7. react-native this使用笔记
  8. 【数值分析】—— 对数函数、指数函数（数值稳定性）
  9. 3.企业安全建设入门(基于开源软件打造企业网络安全) --- 业务网安全加固
  10. python爬虫框架scrapy学习图片下载
  11. linux内核零拷贝技术
  12. 信息通信类部分中文期刊投稿心得(转帖）
  13. jQuery常用插件
  14. 高电平、低电平复位电路
  15. Linux tmp目录的清理规则详解
  16. 二维码名片页面的样式设计
  17. 游戏系统开发设计分享
  18. 新浪微博粉丝通推广效果分析
  19. 上号神器，和平精英扫码登录教程
  20. 微软在移动设备上的失败

热门文章

  1. Makefile学习
  2. windows 域名绑定ip
  3. 关于网上谣传海航陈峰辞职的消息我想说两句
  4. 张爱玲的美丽语句 - Qzone日志
  5. c语言多个大括号的作用,c语言大括号怎么用
  6. c#计算机语言常见题（使用switch语句将所有题连接）
  7. 关于JAVA中request.getParameterMap与request.getReader()获取不到请求值的解决方案
  8. js百度搜索框功能模拟
  9. Ubuntu 制作ISO
  10. js导致的缺少对象错误