3. 上传文件漏洞
进了后台之后能做什么呢？看左边相应的功能就知道啦，有样式管理、文件管理以及用户名密码修改，黑客感兴趣的当然是拿到网站的webshell权限啦。在该组件处理上传图片功能的upload.asp文件里看到代码如下：
' 任何情况下都不允许上传asp脚本文件
sAllowExt = Replace(UCase(sAllowExt), "ASP", "")
这样的过滤看起来很安全，实际上IIS默认用asp.dll处理的不仅仅有asp还有asa、cer、cdx、htr等等，如图3：
所以我们可以上传cer格式的木马。当然在上传之前我们得改一下样式设置，系统自带样式不允许对设置进行修改删除，但允许查看设置！你可以先"拷贝一标准样式"然后对其设置进行修改以达到快速新建样式的目的，在再其中进行设置，在图片类型那里添加一个asa格式，前面用"|"隔开，如图4：
|
|
|
图4
提示：试试键盘 “← →” 可以实现快速翻页
每日精选
-
8月21日成都车展，坦克品牌携坦克700及熊猫配色坦克300等改装车型参展，并开启“我的玩具是坦克”共创投票。品牌成立五年半全球销量近百万，坦克300即将突破60万辆，75%用户仍为首任车主。CEO谷玉坤表示不谈销量，更在意为行业创造价值，坚持价值战与长期主义。
-
今日下午14:00，小米玄戒芯片技术沟通会正式开启，小米新一代自研芯片玄戒O3将在本次活动中亮相，官方将将对这颗芯片的工艺、架构、性能表现进行技术解读。
-
美国正考虑一项新方案，允许苹果在供应链中采用中国存储产品，但仅限于面向中国市场销售的苹果设备，其他机型依旧沿用原有方案。
-
小米18 Pro系列有望带回经典的透明探索版设计，这也是小米数字旗舰时隔多年之后，再次推出透明后盖版本机型。
-
OPPO新一代Find X10系列产品线规划出现调整，将暂停传统形态小屏旗舰机型，转而布局阔直屏新品，这款新机预计在2027年正式登场。
-
vivo X500系列，将在9月正式和大家见面，全系3杯，分别为X500、X500 Pro、X500 Pro Max，将带来视频、拍照、性能、屏幕、OS的五大维度升级。
-
A30 Pro Steam 3.0的蒸热双洗3.0真正做到了“一步到位”。我们不需要根据地面脏污情况，手动切换蒸汽或是热水模式。一键混洗直接把蒸汽、热水两种清洁能力结合在一起，不用我们再做选择，清洁效率有很直观的提升。
-
Intel Nova Lake-S平台中疑似Ultra 9 4950K曝光，Framework、联想多款新笔记本亮相，RTX 3080 20GB魔改卡重新流入市场。
-
小米玄戒O3芯片正式公布。这颗小米自研芯片采用3nm工艺制造，在规格上提升显著，安兔兔评测跑分超过522万分，是无可争议的顶级旗舰芯片。
-
9月全尺寸面板价格有望提前企稳，整体与8月持平，但仍存在小幅惯性下行的可能；到10 月，各尺寸面板价格将全面走平。
点击查看更多
|
网友评论