strut2漏洞-第一次入侵经历

  这两天上数据库,老师给了我们一个网站,该网站是一个售花网站。是有一个师兄写的毕业设计。然后挂在内网,然后使用这个系统,然后分析网站,写个数据库设计的报告。简单的写了数据库作业后就闲来无事做,就想对这个系统进行安全测试。

  1.弱口令

    居然被我猜到一个用户admin密码 123456

  2.查找后台

    这个也是随便测试的。居然被我猜中,是admin.jsp

  3.数据库注入

    我再次使用弱口令,admin root supper
等等用户和密码都不可以。这个时候就想到了作为一个毕业生做出来的作品,数据库注入是最后的办法。在网上找了好多注入的方法,最后测试到有一种可以实现:

    帐号是  ‘or‘x’=’x’or‘2’=’ 
(中间好像是不能有空格)

    密码是 随便6个字符

  4.strust2漏洞

  这个系统老师说使用SSH做的,在网上找到strust2存在漏洞。找到这个工具>>strut2漏洞利用工具2013版V1.3.exe<<然后使用,在对应的Action中输入该网站对应的Action地址,格式一般是xxx.xxx.xxx.xxx/Flower/aaa.action
这个一般会在搜索,登录等页面找到。输入对应的Action后,点击检验漏洞。

  

  5.上传小马

   

  

  6.上传大马

  然后把80+K的代码复制到对应的位置,然后点击up。就完成大马的上传了。

  

  注意要写一个文件名

  

  默认密码是ninty

  

  7.无节操操作

  作为一个使用工具来检测漏洞并入侵的人来说,这是很被鄙视的(我也很鄙视这种行为)。除非是自己发现的。所以记录这次过程,不为什么,只为如果以后要开发SSH时,要记住这个问题。

  ------------------------------------------------

  测试的时候是用本机做测试的。上面的整个过程都好紧张啊,有木有!

  有些网站不支持中文,可以自己修改为英文的

  工具下载: http://files.cnblogs.com/wunaozai/struts2.zip

  本文连接: http://www.cnblogs.com/wunaozai/p/3715249.html

  -----------------------------------------------

  本文免责声明:

    本网页所刊载的各类形式(包括但不仅限于文字、图片、图表)的作品仅供参考使用,并不代表本网站同意其说法或描述,仅为提供更多信息。对于访问者根据本网站提供的信息所做出的一切行为,本人不承担任何形式的责任。以上声明内容的最终解释权归本人所有。

时间: 2024-11-10 08:18:32

strut2漏洞-第一次入侵经历的相关文章

MS14-064 漏洞测试入侵——20145301

MS14-064 漏洞测试入侵 Microsoft Windows OLE远程代码执行漏洞,OLE(对象链接与嵌入)是一种允许应用程序共享数据和功能的技术 执行摘要 此安全更新可解决 Microsoft Windows 对象链接与嵌入 (OLE) 中 2 个私下报告的漏洞.最严重的漏洞可能在用户使用 Internet Explorer 查看经特殊设计的网页时允许远程执行代码.成功利用这些漏洞的攻击者可以在当前用户的上下文中运行任意代码.如果当前用户使用管理用户权限登录,则攻击者可随后安装程序:查

周末惊魂:因struts2 016 017 019漏洞被入侵,修复。

入侵(暴风雨前的宁静) 下午阳光甚好,想趁着安静的周末静下心来写写代码.刚过一个小时,3点左右,客服MM找我,告知客户都在说平台登录不了(我们有专门的客户qq群).看了下数据库连接数,正常.登录阿里云发现cpu 居高不下.客户还在等着,只好先重启tomcat.重启后平台登陆正常.本以为是用户导数据或者连接池被占用光了(这个以前出现过,也比较坑),重启下就会没事. 15分钟左右,客服MM又找我,说平台打开很慢. 我打开登录页面加载都很慢,这时候还是不知道什么问题,上阿里云看看,一看发现有攻击. 看

第一次面试经历(hr面)

经过介绍,我有幸去到一家国际背景的广告公司面试前端开发实习生.收到的邮件是复试通知,看来我已经跳过了第一轮面试. 来到hr请我进了一个小间坐下里填求职书,里面有各种个人信息,有兴趣爱好,有工作经历,以及离开上一任公司原因. 过了大概15分钟,hr进来直接面试我,我之前不知道是什么面,以为是技术面,搞到我很紧张.因为我的性格很内向,所以和不熟的人聊天会说得很少. hr先简单介绍了下她自己,然后突然让我做一下自我介绍,我一下子大脑空白,hr也跟我说没关系,想到什么说什么.这给了我一点缓冲的时间,我介

第一次抢课经历

接着上一篇,发现了导致登录选课页面出现错误的原因:cookie不符                通过使用 google 浏览器 F12 调试发现,在一定时间内,向抢课页面Post数据的 headers 里包括的 cookie 是不变的                然而和通过 python 的 cookielib.CookieJar() 得到的 cookie 却不一样,于是通过手动调试得到cookie写入headers来实现Post功能 学校先于抢课前几天发布了抢课页面,然后第二天就将课程列表

记第一次面试经历

笔试 传值和传引用的区别? 静态链接库和动态链接库的区别?以及运行时在程序内存空间的位置? 死锁的产生条件及写一个简单的死锁程序 二叉树分层遍历算法手写 实现@别人的功能,@后可加命令和发送的消息,设计高效的结构去处理命令和消息,并写代码实现 第一面 技术 你个人的亮点 吸引面试官的点在哪里? 针对我的简历,提了一些问题 个人博客里写的是什么?有什么亮点? KNN 决策树 支持向量机的简单问题 主要是公式 二叉树分层遍历算法手写 手写选择排序算法 职业规划讲一下 linux命令 查找指定文件的路

我的第一次调试经历

前言 时间是2016年6月4日,到xx去做一个普通的vlan间通信的调试,交换机是TG-NET的牌子,对于我这个HCNP(去了被教做人.....)来说,虽然设备是陌生的,但是提前准备了这个交换机的配置手册,所以也没有过多的担心, 去到现场问清楚了网络架构后开始上手配置. 现场情况: 到现场了解到有2台28G汇聚交换机,1台32F光口交换机预备做核心(后被当作傻瓜式交换机),与规划人员交流后发现因为32F光口交换机的电口不足,做核心交换机则接口不够用且速率不能满足带宽需求,所以增加一台28G的交换

第一次面试经历-某公司后端研发

笔试 笔试部分是做了10道题目, 主要是类似于LeetCode上的题. 也包含了一些设计题目, 比如说怎么设计一个爬虫系统的去重. 在面试的时候答题纸也被送过来, 面试官会选择里面一个问题(主要是没做出来的)来问你. 题目我会记录下来放到GitHub上. 一面 一面聊的时间很长, 总共70分钟左右. 总共问了三个大题吧. 发现在面试的过程中, 有一些问题是一开始没有思考到的, 在交流想法的时候发现漏掉了. 可能是没有一开始去设计测试用例, 或者去思考当前的可能的场景或者情况. 60分钟 限制用户

第一次出题经历

背锅: 对于杭二,长郡,成都七中等所有参与参与所谓六校联考的同学,如果你看到这里, 作为今天6.10 T3<被国家队占领的613>的出题人小蒟蒻XY,我对你们今天的T3的参赛体验表示抱歉. 由于出题人今天下午没有围观评测,导致我的同学们是按照捆绑测试进行的评测,而且捆绑的数据点捆绑错了... 出题人精心设计的有梯度的数据并没有给这场比赛带来欢乐,而捆绑数据捆绑错误导致某个24分的subtask只留下了最水的送分点... 从而某些人会惊讶于莫名其妙的52分/24分,而真正在此题上付出很多的巨佬们

Oracle数据库漏洞隐患无需user/password快速入侵

作者:安华金和 思成 摘要 一般性的数据库漏洞,都是在成功连接或登录数据库后实现入侵:本文介绍两个在2012年暴露的Oracle漏洞,通过这两种漏洞的结合,可以在不掌握用户名/密码的情况下入侵Oracle,从而完成对数据的窃取或者破坏. 这两个漏洞就是CVE-2012-1675和CVE-2012-3137. 引言 国内外很多重要的系统都采用Oracle作为数据存储的数据库:在Oracle中存储着企业或政府大量敏感的信息,在金钱或政治的诱导下,内外部黑客会想法利用管理.网络.主机或数据库的自身漏洞