#2 文件上传攻击:全面指南
作为攻击者或安全专业人员,文件上传端点是一个主要目标。这是将恶意代码直接注入服务器的机会,通常位于网站根目录内。让我们深入探讨如何发现、利用这些漏洞,并最终如何防御它们。
步骤1:侦察 - 了解目标框架
在考虑上传什么文件之前,关键的第一步是了解服务器的环境,特别是其构建的Web框架。您想要上传的恶意文件(您的"Webshell")需要能被服务器执行,这意味着必须使用服务器理解并配置为可执行的语言编写。
如何识别框架:
URL路径探测:尝试将常见文件扩展名附加到通用路径或已知文件名上。例如,导航到/index.php、/default.asp、/home.aspx等。如果这些路径中的任何一个解析为页面,则强烈表明底层技术。
Web扩展名词典:可以使用Burp Suite的Intruder等工具,配合常见的Web扩展名词典(例如来自SecLists)来自动化对各个目录路径的探测。
创建帐户以阅读完整故事。作者仅向Medium会员提供此故事。
更多精彩内容 请关注我的个人公众号 公众号(办公AI智能小助手)
对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号(网络安全技术点滴分享)
公众号二维码
公众号二维码