《网站被黑》

目录

一，补充知识

1，黑客攻击的步骤与防范

（1）网络本身存在的安全缺陷

（2）黑客攻击的步骤

（3）黑客攻击的方法

（4）黑客攻击的防范（被攻击前怎么做）

2，黑客常见攻击与防护方法

（1）常见攻击方法

（2）黑客攻击的防范（被攻击后怎么办）

3，web后门详解（泛指webshell）

二，解题过程

1，推断网站使用的后台语言

2，扫描黑客留下的后台地址

3，暴力破解，bp抓包

4，补充

（1）如何判断网站后端使用的语言？

（2）如何从github上下载文件？

---

一，补充知识

1，黑客攻击的步骤与防范

（1）网络本身存在的安全缺陷

1，开放性的网络环境；（显而易见不用多解释）

2，协议本身的缺陷：网络应用层服务隐患（IP层通信的易欺骗性）；针对ARP的欺骗性；

3，操作系统的漏洞：系统模型本身的缺陷；操作系统存在BUG；操作系统程序配置不正确；

4，设备不安全：比如我们购买的国外的网络产品，到底有没有留后门，我们根本无法得知，对于缺乏自主技术支持，依赖进口的国家而言，是最大的安全隐患；

5，线路不安全：任何有线介质，是可以窃取其中一小段的信息的，没有绝对的通信线路；

（2）黑客攻击的步骤

1，目标探测与信息攫取

       先确定攻击日标并收集目标系统的相关信息。一般先大量收集网上主机的信息，然后根据各系统的安全性强弱确定最后的目标。

1) 踩点（Footprinting）黑客必须尽可能收集目标系统安全状况的各种信息。

Whois数据库查询可以获得很多关于目标系统的注册信息。

DNS查询(用Windows/UNIX上提供的nslookup命令客户端)也可令黑客获得关于目标系统域名、IP地址、DNS务器、邮件服务器等有用信息。

traceroute工具获得一些网络拓扑和路由信息。

2) 扫描（Scanning）在扫描阶段，我们将使用各种工具和技巧(如Ping扫射、端口扫描以及操作系统检测等)确定哪些系统存活着、它们在监听哪些端口(以此来判断它们在提供哪些服务)，甚至更进一步地获知它们运行的是什么操作系统。

3) 查点（Enumeration）从系统中抽取有效账号或导出资源名的过程称为查点，这些信息很可能成为目标系统的祸根。比如说，一旦查点查出一个有效用户名或共享资源，攻击者猜出对应的密码或利用与资源共享协议关联的某些脆弱点通常就只是一个时间问题了。查点技巧差不多都是特定于操作系统的，因此要求使用前面步骤汇集的信息。

2，获得访问权

通过密码窃听，共享文件的野蛮攻击，攫取密码文件并破解或缓冲区溢出攻击来获得系统的访问权限；

3，特权提升

在获得一般账户后，黑客经常会试图获得更高的权限，比如获得系统管理员权限。通常可以采用密码破解(如用L0phtcrack破解NT的SAM文件)、利用已知的漏洞或脆弱点等技术。

4，窃取

对敏感数据进行篡改、添加、删除及复制（如Windows系统的注册表、UNIX的rhost文件等）。

5，掩盖踪迹

隐藏自己踪迹，以防被管理员发觉，比如清除日志记录、使用rootkits等工具。

6，创建后门

在系统的不同部分布置陷阱和后门，以便入侵者在以后仍能从容获得特权访问。

（至此，终于明白了黑客攻击的一系列步骤，比如重新复习了之前课上学到的知识，比如此题中网站被黑留下后门）

（3）黑客攻击的方法

扫描器

扫描器的工作原理是对某个指定端口或包含若干个端口的区间逐个发出连接请求。当向主机某个端口发送建立连接请求时，如果该主机有此项服务则应答；如果主机未安装此项服务，则无应答。利用该原理，如果对某个主机所有熟知端口或自己选定范围内的端口分别请求建立连接，根据主机的回应，就可以知道目标主机安装了哪些服务，开放了哪些端口。端口扫描是网络攻击者喜欢的一种探测方式，通过它可以获悉目标主机哪里隐藏着可被攻击的弱点或漏洞。常用扫描器有：nmap、X-scan、IPscan、Nessus等。（难怪老师常常说搞安全得先把计算机网络学好）

网络监听

网络监听指在网络中监听他人的数据包，分析数据包，从而获得一些敏感信息，如账号和密码等。网络监听是网管用来监视网络的状态，数据流动情况以及传输的信息的工具，也是黑客常用的攻击方法。

监听原理工作原理就是更改网卡工作模式，利用网卡混杂模式接收一切所能够接受的数据，从而捕获数据包，分析数据包，达到网络监听目的。

木马攻击的过程

1、木马的配置：由客户端配置服务端。

2、木马的传播：将配置好的服务端传播出去。

3、木马的自启动：进入目标之后设法获得启动机会。

4、建立连接：和控制端建立连接，有主动式和被动式。

5、远程控制：操控者利用木马控制目标，窃取目标信息。

注释：什么是木马攻击？在此没办法详细展开只作粗略说明，以后遇到了再详细研究吧。

        木马病毒并不会自我复制，也不会去感染其他文件，它通过伪装自身诱导用户下载执行，或者是同一些网页进行捆绑，使用户浏览网页时受到侵害。

        木马程序会向攻击者提供感染者电脑的门户，使得攻击者能够任意破坏、盗取感染者的文件和隐私，甚至是远程操控感染者的电脑。

（4）黑客攻击的防范（被攻击前怎么做）

windows登陆策略

1．Windows强密码原则：不少于8字符；包含3种类型；不用完整词汇、用户名、

     姓名、生日等；

2．启用系统账户策略，设置适当的密码策略与锁定策略

3．重新命名管理员Administrator账号

4．创建陷阱用户：增加黑客入侵难度。

5．禁用或删除不必要的账号：降低风险

6.  SYSKEY双重加密账户保护。

（由此想到了自己买电脑时，工作人员对我电脑的一顿操作与此类似哈哈哈）

木马的检测与清除

木马的检测方法：

1.查看端口

2.检查注册表

3.检查DLL木马

4.检查配置文件 

木马的清除：

1.删除木马主文件

2.删除注册表启动项

3.删除关联文件和关联启动项  

（小白也可以动手操作奥）

病毒防护

1.经常进行数据备份，特别是一些非常重要的数据及文件，以避免被病毒侵入后无法恢复。

2.对于新购置的计算机、硬盘、软件等，先用查毒软件检测后方可使用。

3.尽量避免在无防毒软件的机器上或公用机器上使用可移动磁盘、以免感染病毒。

4.对计算机的使用权限进行严格控制，禁止来历不明的人和软件进入系统。

5.采用一套公认最好的病毒查杀软件，以便在对文件和磁盘进行实时监控，及时控制病毒入侵，并及时可靠的升级反病毒产品。

（想到了电脑上的360安全卫士哈哈哈，确实每次安装软件都会弹框提醒）

2，黑客常见攻击与防护方法

（1）常见攻击方法

口令攻击

口令是网络信息系统的第一道防线。当前的网络信息系统大多都是通过口令来验证用户身份、实施访问控制的。当然，也有类似于现在手机上的短信认证、图形认证等功能，但是毕竟这些都是少数，大部分还是用口令认证的。

比如qq的登陆：

 口令攻击是指黑客以口令为攻击目标，破解合法用户的口令，或避开口令验证过程，然后冒充合法用户潜入目标网络系统，夺取目标系统控制权的过程。如果口令攻击成功，黑客进入了目标网络系统，便能随心所欲地窃取、破坏和篡改被侵入方的信息，直至完全控制被侵入方。

口令攻击的主要方法：

1.社会工程学(Social Engineering)攻击

社会工程学攻击即通过人际交往这一非技术手段以欺骗、套取的方式来获得口令。

2.猜测攻击

首先，使用口令猜测程序进行攻击。口令猜测程序往往根据用户定义口令的习惯猜测用户口令，像名字缩写、生日、宠物名、部门名等。在详细了解用户的社会背景之后，黑客可以列举出几百种可能的口令，并在很短的时间内就可以完成猜测攻击。

3.字典攻击

如果人工猜测攻击不成功，攻击者会继续扩大攻击范围，对所有英文单词进行尝试，程序将按序取出一个又一个的单词，进行一次又一次尝试，直到成功。据报道，对于一个有10万个英文单词的集合来说，入侵者不到两分钟就可试完。所以，如果用户的口令不太长或是单词、短语，那么很快就会被破译出来。

4.穷举攻击

如果字典攻击仍然不能够成功，入侵者会采取穷举攻击。一般从长度为1的口令开始，按长度递增进行尝试攻击。由于人们往往偏爱简单易记的口令，穷举攻击的成功率很高。如果每千分之一秒检查一个口令，那么86%的口令可以在一周内破译出来。针对这种攻击的防护措施主要是设置的口令要足够长，并且复杂。例如，至少8位以上，数字+符号+大小写组合就行了。

5.混合攻击

混合攻击结合了字典攻击和穷举攻击，先进行字典攻击，再进行暴力攻击。

避免被攻击的对策：

1，不用生日、纪念日、有意义的字符串，不用汉语拼音，英文单词。
2，使用大小写字母、符号、数字的组合。
3，不要将口令写下来。
4，不要将口令存于计算机文件中。
5，不要在不同系统上使用同一口令。
6，为防止眼明手快的人窃取口令，在输入口令时应确认无人在身边。
7，定期改变口令，至少两个月左右要改变一次。

网络监听

在网络空间环境中，网络监听是一种用来监视网络状态、数据流程以及网络上信息传输的管理工具。它可以将网络功能设定成监听模式，这样就可以截获网络上所传输的信息。也就是说，当攻击者登录网络主机并取得超级用户权限后，若要登录其他主机，使用网络监听的方法可以有效地截获网络上的数据。这是攻击者优先使用的方法。但是网络监听仅能应用于连接同一网段的主机，且通常用来获取用户口令或密码。

网上有许多网络监听工具，例如Wireshark,Sniffer Pro, NetXray，tcpdump等。它们可以轻而易举地截取包括口令、账号等敏感信息。

针对网络嗅探攻击的防范措施包括：

    安装VPN网关，防止入侵者对网络信道进行嗅探。
    对内部网络通信采取加密处理。
    采用交换设备进行网络分段。
    采取技术手段发现处于混杂模式的主机，即发掘“鼹鼠”。

缓冲区溢出攻击

缓冲区溢出是指用户向计算机缓冲区内填充的数据位数超过了缓冲区本身的容量时，溢出的数据覆盖了合法的数据。理想的情况是：检测程序会自行检查数据长度，并且不允许输入超过缓冲区长度的字符。然而，绝大多数程序都会假设数据长度总是与所分配的储存空间相匹配，这就为缓冲区溢出埋下巨大的隐患。操作系统中使用的缓冲区，又称为“堆栈”。在各个操作系统进程之间，指令会被临时储存在“堆栈”当中，“堆栈”也会出现缓冲区溢出的情况。

缓冲区溢出攻击则是利用软件的缓冲区溢出漏洞进行的攻击。缓冲区溢出漏洞是一种非常普遍而且非常危险的漏洞，它在操作系统和应用软件中广泛存在。利用缓冲区溢出攻击，能导致程序运行失败、系统关机、重新启动、内存异常、CPU运行异常等严重后果。

保护缓冲区免受缓冲区溢出的攻击和影响的方法：

    通过操作系统的检测使得缓冲区溢出不可执行，从而阻止攻击者植入攻击用的代码。
    强制编写正确的代码。
    利用编译器的边界检查实现缓冲区保护。这种方法使得缓冲区溢出的情况不大可能出现，从而完全消除了缓冲区溢出威胁，但是相对而言代价也比较大。
    在程序指针失效前进行完整性的检查。虽然这种方法不能使所有的缓冲区溢出失效，但可以阻止绝大多数的缓冲区溢出攻击。

拒绝服务攻击

拒绝服务攻击，英文名称是Denial of Service，简称DoS，即拒绝服务。DoS攻击即攻击者想办法让目标主机或系统拒绝提供服务或资源访问，这些资源包括CPU、磁盘空间、内存、进程、网络带宽等，从而阻止正常用户的访问。

针对这种攻击的防护，主要是通过防火墙来实现的。

 

分布式拒绝服务攻击简介 

补充DOS攻击：https://blog.csdn.net/qq_29344757/article/details/86658936?

分布式拒绝服务(Distributed Denial of Service，DDoS)攻击，是使用网络上两个或两个以上被攻陷的计算机作为“僵尸”向特定的目标发动“拒绝服务”式攻击。这种攻击是以DoS攻击为基础，但是效果要比DoS攻击强很多。

DDoS攻击的基本步骤如下

第1步：攻击者使用扫描工具扫描大量主机以寻找潜在入侵目标

第2步：攻击者设法入侵有安全漏洞的主机并获取控制权，这些主机将被用于放置后门、守护程序、攻击者程序等

第3步：攻击者在得到入侵计算机清单后，从中选出建立网络所需要的主机，放置已编译好的守护程序，并向被控制的计算机发送命令

第4步：攻击者发送控制命令给主机，准备启动对目标系统的攻击

第5步：主机发送攻击信号给被控制计算机开始对目标系统发起攻击

第6步：目标系统被无数个伪造的请求所淹没，从而无法对合法用户进行响应，DDoS攻击成功。
拒绝服务攻击的防护

1，定期扫描现有的网络主节点，清查可能存在的安全漏洞。对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客入侵的重灾区，因此对这些主机本身加强安全是非常重要的。
2，骨干节点上的防火墙的配置至关重要。防火墙本身能抵御DDoS攻击和其他一些攻击。在发现受到攻击的时候，将攻击导向一些牺牲主机，这样可以保护真正的主机不瘫痪。
3，用足够的机器承受黑客攻击。这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源让黑客攻击，黑客在不断访问用户、夺取用户资源的同时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支持下去。
4，充分利用网络设备保护网络资源。所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。
5，使用Express Forwarding可以过滤不必要的服务和端口，即在路由器上过滤假IP。比如Cisco公司的CEF（Cisco Express Forwarding）可以对封包Source IP和Routing Table做比较，并加以过滤。
6，使用单播反向通路转发（Unicast Reverse Path Forwarding）检查访问者的来源。它通过反向路由表查询的方法检查访问者的IP地址是否是真，如果是假的，它将予以屏蔽。许多黑客攻击常采用假IP地址的方式来迷惑用户，很难查出它来自何处，因此，利用单播反向通路转发可减少假IP地址的出现，有助于提高网络安全性。
7，过滤所有RFC1918 IP地址。RFC1918 IP地址是内部网的IP地址，像10.0.0.0、192.168.0.0和172.16.0.0，它们不是某个网段的固定IP地址，而是Internet内部保留的区域性IP地址，所以应该把它们过滤掉。
8，限制SYN/ICMP流量。用户应在路由器上设置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，就说明不是正常的网络访问，而是有黑客正在入侵。

sql注入攻击 

SQL注入攻击是攻击者对数据库进行攻击的常用方法之一。随着B/S模式应用开发的广泛使用，采用这种模式编写的应用程序也越来越多。然而由于程序员之间的水平及经验也存在差距，很多程序员在编写代码的时候，没有对用户输入数据的合法性进行验证，使应用程序存在许多安全隐患。攻击者可以提交一段用SQL语言编写的数据库查询代码，根据程序返回的结果，获得某些他想得知的数据，这就是所谓的SQL注入攻击（SQL Injection）。SQL注入攻击会导致的数据库安全风险包括刷库、拖库、撞库。

SQL注入攻击的实现

目前的SQL注入攻击不用自己编写软件，网上有很多这样的工具，例如BSQLHacker、Pangolin、Aqlmap、Havij、Enema等。

SQL注入攻击的防护

SQL注入攻击属于数据库安全攻击方法之一，可以通过数据库安全防护技术实现有效防护，数据库安全防护方法与技术包括数据库漏扫、数据库加密、数据库防火墙、数据脱敏、数据库安全审计系统。

木马攻击

木马程序可以直接侵入用户的计算机并进行破坏，它常被伪装成工具程序或者游戏等，诱使用户打开带有木马程序的邮件附件或从网上直接下载，一旦用户打开了这些邮件的附件或者执行了这些程序，它们就会在计算机系统中隐藏一个可以在启动时悄悄执行的程序。这种远程控制工具可以完全控制受害主机，危害极大。

完整的木马程序一般由两部分组成：一个是服务器端，另一个是客户端（也叫控制器端）。“中了木马”就是指安装了木马的服务器端程序。若你的计算机被安装了服务器端程序，则拥有相应客户端的人就可以通过网络控制你的计算机，为所欲为。这时你计算机上的各种文件、程序，以及正在使用的账号、密码就无安全可言了。这里注意受害者安装的是服务器端，攻击者用的是客户端，不能反了。如果反了就被别人控制了。

木马的种类

    1，破坏型。这类木马唯一的功能就是破坏并且删除文件，可以自动删除计算机中的Word、DLL、INI、EXE等重要文件。
    2，密码发送型。可以获取用户的许多密码并把它们发送到指定的邮箱。很多人喜欢把自己的各种密码以文件的形式存放在计算机中，认为这样方便。但许多木马软件可以寻找到这些文件，把它们发送到黑客手中。也有些木马软件长期潜伏，记录操作者的键盘操作，从中寻找有用的密码。
    3，远程访问型。如果有人运行了服务端程序，一旦攻击者知道了服务端的IP地址，就可以实现远程控制。这样可以观察受害者正在干什么，从而达到监视某个计算机操作的目的。
    4，键盘记录木马。这种木马程序只做一件事情，就是记录受害者的键盘敲击并且在LOG文件里查找密码。它会随着Windows的启动而启动，并提供在线和离线记录这样的选项，可以分别记录受害者在线和离线状态下敲击键盘时的按键。也就是说受害者按过什么按键，木马程序都能知道，从这些按键中很容易就会得到受害者的密码甚至是银行卡账号等有用信息。
    5，DoS攻击木马。随着DoS攻击越来越广泛，被用作DoS攻击的木马程序也越来越多。攻击者入侵一台计算机后，会向其植入DoS攻击木马程序，这台计算机日后就成为攻击者进行DoS攻击的得力助手了。所以，这种木马程序的危害不是体现在被感染的计算机上，而是体现在攻击者可以利用它来攻击一台又一台计算机。

木马的防范

• 检测和寻找木马隐藏的位置
• 防范端口
• 删除可疑程序

社会工程学攻击

社会工程学攻击是一种利用人的弱点，以顺从人的意愿、满足人的欲望的方式，让受害者上当受骗的方法。

社会工程学的基本攻击目标和其他攻击方法基本相同，目的都是为了获得目标系统的未授权访问路径或重要信息，从事网络入侵、信息盗取、身份盗取，或者仅仅是扰乱系统或网络，或是为了骗取受害人的钱财等。

防范社会工程学攻击

   1， 当心来路不明的电子邮件、短信以及电话。在提供任何个人信息之前，验证其可靠性和权威性。
   2， 仔细并认真地浏览电子邮件、短信、微信等的细节。不要让攻击者消息中的急迫性阻碍了你的判断。
    3，自学。信息是预防社会工程攻击的最有力的工具。要经常学习并研究如何鉴别和防御网络攻击者。
   4， 永远不要打开来自未知发送者的电子邮件中的嵌入链接。如果有必要就使用搜索引擎寻找目标网站或手动输入网站地址。
    5，永远不要在未知发送者的电子邮件中下载附件。
    6， 拒绝来自陌生人的在线技术帮助，无论他们声称自己是多么正当的。
    7，使用防火墙来保护计算机空间，及时更新杀毒软件同时提高垃圾邮件过滤器的门槛。
    8，下载软件及操作系统补丁，预防零日漏洞。及时安装软件供应商发布的补丁程序。
    9，经常关注网站的URL。有时网上的骗子对URL做了细微的改动，将流量诱导进了自己的诈骗网站。
   10，不要幻想不劳而获。如果你从来没有买过彩票，那你永远都不会成为那个中大奖的幸运儿。如果你从来就没有丢过钱，那为什么还要接受来自国外某个机构的退款呢？

（2）黑客攻击的防范（被攻击后怎么办）

1.确认被攻击的范围

2.备份日志(如IIS、Apache、FTP、Windows/Linux/UNIX等日志)

3.清除后门程序

4.修复漏洞

5.更改以前的配置文件

3，web后门详解（泛指webshell）

https://blog.csdn.net/weixin_42282189/article/details/120981598?

二，解题过程

 题目提示网站被黑，然后黑客留下了后门。

1，推断网站使用的后台语言

在网站的url地址栏添加/index.php发现也可以成功访问主页面，因此推断出当前使用的后端语言是php。

2，扫描黑客留下的后台地址

       一般我们用到的后台扫描工具有：御剑，dirsearch，dirBuster或者dirb等。（但是做题目时我最开始用御剑扫描，扫描的非常慢，同学说是因为御剑有些字典很老了，所以我决定以后优先使用其他的扫描工具）

此题中，我们使用的字典需要为php类型的文件字典，比如web.php，123.php，hacker/456.php。

这次我使用的是dirsearch这个后台扫描工具。

常用的参数有

• -u 指定网址
• -e 指定网站语言
• -w 指定字典
• -r 递归目录（跑出目录后，继续跑目录下面的目录）
• --random-agents 使用随机UA

这里的-u参数表示指定url地址，我们这里的地址为网站的根目录。我们这里不在指定字典，使用dirsearch自带的字典。

通过扫描发现shell.php文件非常可疑。

于是我们访问，发现一个需要密码的登录框。

http://xxx.xxx.xxx.xxx:xxxx/shell.php 

 

 3，暴力破解，bp抓包

使用暴力破解的方式进行破解password，使用bp开启代理进行抓包（截取网页请求）。

（关于Burpsuite如何使用详解请看我的另一篇博客哈嘻嘻）

首先，在浏览器开一个代理服务器（我使用的是IE浏览器）

打开浏览器的设置，然后再进行如下图所示的操作：

 然后进入以下页面：

 注意，页面中的地址和端口需要和bp中一样（Proxy--》Options即可看到）

代理设置完了我们进行抓包。

然后进入刚刚输入密码的框框里输入一个密码，登录，再看bp页面的时候，就抓到了请求。

接着选中变量右键，点击send to intrduer

（因为写这写笔记的时候我是边回忆边写的嘻嘻，所以为了节约时间没有重新写一遍，部分截图没有）

进入如下页面：

 Playloads里面的Playload type选择simple list

爆破密码的原理就是，我们现有很多个密码字典，然后通过机器去输入密码，用字典里的密码去一个一个试。如果大家的Burpsuite是专业版的（也就是pro，但是需要收费），bp里面会自带字典；如果大家和我一样是社区版的也很容易，爆破字典网上有很多，我们下载之后点击load即可。（这些是我从大佬的github下载的字典嘻嘻，感谢）

最后我们点击右上角的Start  attack开始爆破:

找到密码只是时间的问题了。

 在它爆破的过程中，我们观察返回的请求长度，发现有一个长度不一样，这个就是密码即hack。（原理：我们输入不正确的密码时返回的请求都是一样的，而输入正确的密码时，返回的请求长度就和不为正确有区别，这个道理很好理解啦~）

最后！我们把得到的密码输入刚刚的框框，即可登录成功得到flag~~~

 4，补充

（1）如何判断网站后端使用的语言？

但是，具体地操作方法我还在学习中，学完了再系统整理一下啦~~~

（2）如何从github上下载文件？

哈哈哈在下载字典的时候我竟然还花了几分钟学这个，所以值得记录啦：

参考博客资料：

http://t.csdn.cn/KQ9uh

http://t.csdn.cn/BSlqv

作为小菜，每做一道题目都要溯源，这样能积累好多知识，但是不可能都能了解全面，在此记录，方便后续学习啦~加油~~~