日日操夜夜添-日日操影院-日日草夜夜操-日日干干-精品一区二区三区波多野结衣-精品一区二区三区高清免费不卡

公告:魔扣目錄網(wǎng)為廣大站長提供免費收錄網(wǎng)站服務(wù),提交前請做好本站友鏈:【 網(wǎng)站目錄:http://www.ylptlb.cn 】, 免友鏈快審服務(wù)(50元/站),

點擊這里在線咨詢客服
新站提交
  • 網(wǎng)站:51998
  • 待審:31
  • 小程序:12
  • 文章:1030137
  • 會員:747

前言

這次檢查并不是幫我,而是幫一位粉絲。當(dāng)時私聊我的時候我還挺高興的,至少得到了認(rèn)可。

檢查程序后門思路
 
 
 

這次文章我也征求了他的同意才發(fā)出來的。也請別說我侵犯他人隱私。

檢查程序后門思路
 
 
 

過程

早上醒來的時候就看到了消息,原本我只想要個源碼的,不過只有源碼沒有日志的話,也算一次不完整的檢查。為了追求完美,還是恬不知恥的要了寶塔賬戶密碼哈哈。一進去我就看到個更新消息,好家伙pma未鑒權(quán)漏洞還沒修復(fù),順手給更新了。

檢查程序后門思路
 
 
 

一共是三個站點,第一個使用fastadmin二開的,另外兩個是相同的不知名源碼。其他兩個站點相對于第一個來說不太重要,我就著重檢查了第一個。

本來思路是用工具掃加審計的。不過源碼備份下來500多m,下載速度也慢,幾十kb的跑。算了還是手工吧。是的你沒聽錯,我選擇了一個最笨的方法。

檢查程序后門思路
 
 
 

一共1752個文件,用時間排序。找到最開始安裝的日期,篩選下來還是有1000多個。沒辦法挨個看。順手找了個邏輯漏洞

檢查程序后門思路
 

幸運的是,發(fā)現(xiàn)了一個接口文件有問題,順手刪了。因為這個接口文件使用file_get_contents函數(shù)下載文件到本地保存在cache目錄。

檢查程序后門思路
 
 
 

 

還有個api.html文件,我想的是如果真是這個api.html文件有問題,那么上傳肯定是能getshell的。

經(jīng)過測試發(fā)現(xiàn)并不能,而且文件上傳也限制過。

檢查程序后門思路
 
 
 

確認(rèn)過安全后,接著回歸另外兩個網(wǎng)站。這兩個網(wǎng)站才是重災(zāi)區(qū)。

檢查程序后門思路
 
 
 

 

檢查程序后門思路
 
 
 

 

檢查程序后門思路
 
 
 

 

檢查程序后門思路
 
 
 

一共6個馬,分別在不同的地方,時間。碼子內(nèi)容也千奇百怪,都不相同。密碼也是。看到文件名字

木馬后門暫時改名待刪除

敏感的我知道,一定還有個改名程序。翻了20多分鐘才在App/Lib/model/index/里找到了它。

檢查程序后門思路
 
 
 

經(jīng)歷了差不多兩個多小時吧,人都看傻了,也希望各位多多自查。同時也感謝這位粉絲能夠認(rèn)可我。還有開發(fā)者們,真的沒必要在程序里放后門,買賣不成仁義在,你覺得呢?

分享到:
標(biāo)簽:后門 程序
用戶無頭像

網(wǎng)友整理

注冊時間:

網(wǎng)站:5 個   小程序:0 個  文章:12 篇

  • 51998

    網(wǎng)站

  • 12

    小程序

  • 1030137

    文章

  • 747

    會員

趕快注冊賬號,推廣您的網(wǎng)站吧!
最新入駐小程序

數(shù)獨大挑戰(zhàn)2018-06-03

數(shù)獨一種數(shù)學(xué)游戲,玩家需要根據(jù)9

答題星2018-06-03

您可以通過答題星輕松地創(chuàng)建試卷

全階人生考試2018-06-03

各種考試題,題庫,初中,高中,大學(xué)四六

運動步數(shù)有氧達人2018-06-03

記錄運動步數(shù),積累氧氣值。還可偷

每日養(yǎng)生app2018-06-03

每日養(yǎng)生,天天健康

體育訓(xùn)練成績評定2018-06-03

通用課目體育訓(xùn)練成績評定