网站劫持案例练习

网站劫持案例练习

靶机链接: https://pan.baidu.com/s/1djM6aq4R1dVNoa4UGqmWIQ

提取码: j2qg

---

题目要求：接到相关监管单位通知，XXX网站被黑客恶意篡改，请协助相关机构查找篡改页面

案例一

index.asp

unicode转码为

<title>北京赛车交流群|北京赛车交流微信群|北京PK10交流QQ群title>
<meta name="description" content="北京PK10赛车微信交流群，QQ交流群（接待微/信：wwc0885）由专业的资深团队为您提供最新最快的北京赛车精准人工计划。集合了当下最热门的北京赛车群以及北京赛车信誉微信群、pk10微信群，pk10QQ群。稳定计划免费带人回血信誉老群，北京赛车pk10微信/QQ交流群欢迎您的加入！">
<meta name="keywords" content="北京PK10交流群,北京赛车交流微信群,北京赛车交流QQ群">

案例二

inc/Foot.asp

案例三

inc/Conn.asp

案例四

一直没找到，猜测是在数据库里，老师演示后知道在Databases/0791idc.mdb，依旧是那些熟悉的unicode编码

案例五

Count/Numpic目录下有个**/004/**文件夹，里面全是广告html

案例六

全局变量文件里Global.asa

案例七

这个太坑了！也是写在Global.asa中的，全局变量只能定义在根目录下，但是开启了显示隐藏文件也看不见，放进iis挂载上就能出现？？？

案例八

<script language="JavaScript">
<!--
************************(theURL,winName,features) { //v2.0
  window.open(theURL,winName,features);
}

function MM_goToURL() { //v3.0
  var i, args=MM_goToURL.arguments; document.MM_returnValue = false;
  for (i=0; i<(args.length-1); i+=2) eval(args[i]+".location='"+args[i+1]+"'");
}

首页源码中存在一连串***************

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-cOVHRoKX-1593257165206)(image-20200625190742379.png)]

左侧是浏览器打开的网站源码，右侧为 index.asp调用的 head.asp源码

在中间件层面实现所有访问的过滤 当然也能实现按照库文件里的内容去执行

应该是劫持服务器然后修改了库文件造成的

打开internet信息服务（IIS）管理器，右键网站–>属性–>ISAPI筛选器，里面有个HwsFilter.dll感觉问题出在这里(猜测)

尝试反编译，但是打不开，十六进制看不太懂，打开后找到这个 函数http筛选过程，更深的就看不见了

删掉这个函数库之后重启网站，主页果然没有************号了

<script language="JavaScript">
<!--
function MM_openBrWindow(theURL,winName,features) { //v2.0
  window.open(theURL,winName,features);
}

function MM_goToURL() { //v3.0
  var i, args=MM_goToURL.arguments; document.MM_returnValue = false;
  for (i=0; i<(args.length-1); i+=2) eval(args[i]+".location='"+args[i+1]+"'");
}