3. 上传文件漏洞
进了后台之后能做什么呢？看左边相应的功能就知道啦，有样式管理、文件管理以及用户名密码修改，黑客感兴趣的当然是拿到网站的webshell权限啦。在该组件处理上传图片功能的upload.asp文件里看到代码如下：
' 任何情况下都不允许上传asp脚本文件
sAllowExt = Replace(UCase(sAllowExt), "ASP", "")
这样的过滤看起来很安全，实际上IIS默认用asp.dll处理的不仅仅有asp还有asa、cer、cdx、htr等等，如图3：
所以我们可以上传cer格式的木马。当然在上传之前我们得改一下样式设置，系统自带样式不允许对设置进行修改删除，但允许查看设置！你可以先"拷贝一标准样式"然后对其设置进行修改以达到快速新建样式的目的，在再其中进行设置，在图片类型那里添加一个asa格式，前面用"|"隔开，如图4：
|
|
|
图4
提示：试试键盘 “← →” 可以实现快速翻页
每日精选
-
ROG游戏手机9系列11月19日19:00新品发布，反正超AI玩！等你来看！
-
红魔10 Pro以独特的设计、出色的性能与稳定的影像表现，成为当前电竞旗舰手机中的佼佼者。它不仅是行业中少有的背部纯平设计，搭配6.85寸全面屏，带来极具视觉冲击的体验，整体外观显得更加规整、精致。
-
OPPO今天开始对OPPO Reno 13系列进行预热，官方直接就放出猛料，公布了Reno13系列的外观设计。
-
微星在国际版官网上线了B650M BOMBER WIFI主板，带来了该系列首款搭载AMD芯片组的型号。
-
近日，夸克发布“学术搜索”AI产品，依托AI技术和亿级学术文献，将大大提高学术工作中信息获取、创作和处理的效率。PConline最新数据显示，夸克PC端位居2024年国内电脑端AI应用下载量第一，成为年轻人首选的PC端AI产品。
-
作为OPPO Reno系列又一款基于美学理念打造的产品，Reno13在颜值方面再进一步，手感、颜值俱佳。
-
与常规版极米RS 10 Ultra不同的是，大师版本在外层的镜头部分采用了X Master红圈镜头，象征着大师级光学杰作，拥有超A级影像解析力、复合镜片群组以及3年的超长质保期限，可以提供更为出色的影像质量。
-
11月18日，OPPO正式官宣了全新Reno13系列。Reno 13系列延续「超美小直屏」的标志性设计，并推出全新潮流配色-蝶蝶紫，引领新一代年轻潮流趋势。
-
iQOO Neo10系列将搭载天玑9400旗舰芯片与自研电竞芯片Q2组成的“旗舰双芯”组合，凭借vivo蓝科技的深度优化，带来卓越的性能和顶级的游戏体验。
-
OPPO Reno13 系列，AI 高清实况照片，双芯抢网，IP69 满级防水，今日 19:00 全新发布。
点击查看更多
|
网友评论