搜索

[18502] 2019-12-06_Bypass宝塔防火墙和云锁SQL注入钓鱼站

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-12-06_Bypass宝塔防火墙和云锁SQL注入钓鱼站 B y p a s s 宝 塔 防 火 墙 和 云 锁 S Q L 注 入 钓 鱼 站 原 创   y z d d m r 6   H A C K 学 习 呀   2 0 1 9 - 1 2 - 0 6 前 言 前 言 某 天 收 到 一 封 邮 件 一 看 就 是 钓 鱼 邮 件 ， 并 且 我 也 不 玩 L O L 。 看 了 看 感 觉 这 个 系 统 好 像 见 过 很 多 次 ， 研 究 了 一 下 ， 顺 手 日 了 下 来 过 程 比 较 有 意 思 ， 遇 到 了 不 少 坑 ， 写 篇 文 章 记 录 一 下 。 正 文 正 文 信 息 搜 集 信 息 搜 集 打 开 网 站 首 先 我 们 可 以 看 到 他 的 炫 酷 界 面
进 一 步 搜 集 信 息 发 现 有 宝 塔 + 云 锁 ， 找 不 到 后 台 ， 旁 站 全 是 这 种 钓 鱼 站 ， 均 使 用 了 冒 充 官 网 的 子 域 名 前 缀 手 工 试 了 下 发 现 有 注 入 ， 但 是 有 云 锁
万 能 万 能 B y p a s s 还 是 利 用 星 球 里 提 过 的 增 加 垃 圾 数 据 包 的 方 法 来 b y p a s s ， 屡 试 不 爽 ， 思 路 就 是 增 加 垃 圾 数 据 构 造 好 p o s t 包 后 用 s q l m a p 跑 ， 发 现 有 布 尔 盲 注 本 来 以 为 就 要 完 事 了 ， 结 果 s q l m a p 最 后 提 示 注 入 失 败 e m m m m m m ， 看 一 下 发 现 被 封 了 I P
换 个 I P 后 ， 增 大 d e l a y 的 数 值 ， 想 了 想 他 有 可 能 是 根 据 X F F 来 判 断 来 源 I P 的 ， 就 又 加 了 个 哈 ， 本 来 可 高 兴 了 ， 以 为 完 事 了 结 果 发 现 跑 不 出 来 数 据 e x m ? ? ? 遇 到 的 坑 遇 到 的 坑 在 从 确 认 有 注 入 到 真 正 能 跑 出 来 的 期 间 遇 到 了 好 多 坑 。 。 。 花 了 一 下 午 时 间 才 一 个 一 个 解 决 第 一 个 坑 ： 第 一 个 坑 ： s q l m a p 的 的 p a y l o a d 无 法 加 载 无 法 加 载 抓 包 看 一 下 ， 发 现 s q l m a p 的 p a y l o a d 无 法 被 加 载 到 数 据 包 里 相 当 于 一 直 发 送 的 都 是 没 有 p a y l o a d 的 数 据 包 ， 所 以 肯 定 注 不 出 来 。 具 体 原 因 不 知 道 为 什 么 ， 但 是 可 以 做 一 个 猜 想 ： 可 能 是 构 造 的 垃 圾 数 据 过 多 ， 文 件 过 大 ， 导 致 s q l m a p 还 没 来 得 及 替 换 p a y l o a d 数 据 包 就 发 出 去 了 解 决 办 法 就 是 减 小 数 据 包 长 度 ， 然 后 抓 包 调 整 t a m p e r = x f o r w a r d e d f o r . p y
最 后 发 现 3 0 k b 是 个 界 限 ， 刚 好 是 s q l m a p 能 发 出 去 包 ， 并 且 云 锁 跟 宝 塔 不 会 拦 截 。 第 二 个 坑 ： 第 二 个 坑 ： w i n 下 网 络 阻 塞 下 网 络 阻 塞 强 制 关 闭 s q l m a p 了 几 次 ， 然 后 就 发 现 网 络 阻 塞 ， 数 据 包 在 w i n 环 境 下 发 不 出 去 解 决 办 法 就 是 换 k a l i 。 第 三 个 坑 ： 第 三 个 坑 ： s q l m a p 提 示 发 现 有 无 法 识 别 的 字 符 ， 解 决 办 法 是 采 用 柳 暗 花 明 柳 暗 花 明 解 决 完 上 面 的 坑 后 ， 终 于 可 以 出 数 据 了 跑 了 漫 长 的 一 个 小 时 。 。 。 终 于 跑 出 来 了 当 前 的 用 户 名 。 。 。 - - h e x
然 后 是 跑 表 名 因 为 跑 起 来 实 在 太 慢 了 ， 后 面 就 懒 得 跑 了 。 最 后 最 后 面 对 这 种 邮 件 大 家 要 提 高 警 惕 ， 一 定 要 检 查 发 件 人 跟 域 名 是 否 是 官 方 。
一 旦 遇 到 钓 鱼 邮 件 立 马 举 报 ， 防 止 更 多 的 人 上 当 。 推 荐 阅 读 ： 推 荐 阅 读 ： 实 战 渗 透   |   情 侣 空 间 钓 鱼 邀 请 ， 撸 它 当 英 雄 联 盟 钓 鱼 网 站 遇 到 脚 本 黑 客 实 战 渗 透   |   向 吃 鸡 外 挂 站 开 炮 实 战 渗 透   |   向 吃 鸡 外 挂 站 开 炮 （ 二 ） 原 创 投 稿 作 者 的 知 识 星 球 感 兴 趣 的 可 以 看 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理