对某供应商网站安全测试及峰回路转

IT618发布 · 发表于 2024-8-31 16:11:01

马上注册，免费下载更多dz插件网资源。

您需要登录才可以下载或查看，没有账号？立即注册

×

前言

有次在路上看到修地铁围栏上贴的一个投诉的二维码，用手机扫描，发现是一个XX视频监控系统。接着在系统底部发现某公司提供技术支持，故对他进行安全测试。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

信息收集

打开搜索引擎：输入公司名称找到目标公司网站，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

端口扫描，开放如下端口：
ftp：21
web：80
mysql：3306
web：8080
ssh：22000
web目录扫描

发现有个del.php页面，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

访问 http://www.xxx.com/del.php

这个del文件看似是个删除文件的，其实它没啥实质性影响。

打开发现它把web文件都加载出来了，其中有个tar.gz 格式的文件，第一感觉就是网站的备份文件。故下载之，果不其然。如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

翻找数据库配置文件

找到数据库账号密码后，去尝试远程连接发现无法进行连接，看提示信息估计是做了限制，只能本地连接。那就先放着。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

访问其他端口

http://www.xxx.com:8080

发现是用WDCP搭建的网站，这套系统搭建网站很方便。

去网上找了一圈WDCP系统的相关漏洞，目标不存在漏洞。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

但WDCP搭建的会有phpmyadmin数据库管理系统，在域名后面加上phpmyadmin弹出了窗口，让你输入账号密码，拿之前源码泄漏的数据库账号密码成功登录之。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

查到网站账号密码，密码md5加密，去cmd5.com上成功破解出明文。如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

获取到账号密码，找到目标网站后台进行登录，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

发现网站采用的是phpcms，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

后台getshell

通过查询到的方法，在如下图所示处插入一句话即可成功Getshell

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

反弹shell

通过一番查找，找到了WDCP系统的mysql账号密码，如下图： cat /www/wdlinux/etc/pureftpd-mysql.con

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

通过phpmyadmin访问wdcp数据库，找到wdcp系统的账号，成功解出明文，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

利用获取到的wdcp系统的账号密码成功登录wdcp管理系统，如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

ssh和wdcp账号密码一致

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

清除痕迹

清除操作系统日志：
echo > /var/log/syslog
echo > /var/log/messages
echo > /var/log/httpd/access_log
echo > /var/log/httpd/error_log
echo > /var/log/xferlog
echo > /var/log/secure
echo > /var/log/auth.log
echo > /var/log/user.log
echo > /var/log/wtmp
echo > /var/log/lastlog
echo > /var/log/btmp
echo > /var/run/utmp
history -c
清除Web操作日志：

清除登录日志：

单条清除：
DELETE FROM `wdcpdb`.`wd_loginlog` WHERE `wd_loginlog`.`id` =220;
批量清除：
DELETE FROM `wdcpdb`.`wd_loginlog` WHERE `wd_loginlog`.`id` BETWEEN '100000' AND '250000';
清除登录日志：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

清除操作日志：

峰回路转

其实最开始是想搞地铁围栏贴的那个二维码的，由于有些原因不太好搞。所以才转向页面底部的技术支持：供应商。

最后无意间利用供应商网站备案后查了下，发现他另一个域名，打开发现集成了好多监测系统。如下图，第二个网站。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

访问发现集成了很多系统，包括目标站点系统也在列。其中登录状态：登录成功，猜测是web系统自动登录。如下图：

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

进一步抓包分析，果不其然，只要访问页面，页面上的系统均会自动进行登录，数据包里也包含了明文账号密码。

但是发现目标站点系统数据包并未记录账号密码，查看返回包应该调用的接口，如下图。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

判断，根据抓到的数据包其它的站点系统是存在账号密码的，那是否可以利用其它站点系统的账号密码去尝试登录目标站点系统呢？经过尝试，是可以的。

对某供应商网站安全测试及峰回路转指标,主要涉及答案,系统,账号,下图

利用其它站点系统的账号密码成功登录最终目标系统，如下图：

原文链接

https://www.t00ls.com/articles-70907.html

©DZ插件网所发布的一切资源仅限用于学习和研究目的；不得将上述内容用于商业或者非法用途，否则，一切后果请用户自负。
本站内容为站长个人技术研究记录或网络，不提供用户交互功能，所有内容版权归原作者所有。您必须在下载后的24个小时之内，从您的电脑中彻底删除上述内容。如果您喜欢该程序，请支持正版软件，得到更好的正版服务。
您在本站任何的赞助购买、下载、查阅、回复等行为等均表示接受并同意签订《DZ插件网免责声明协议》。
如有侵权请邮件与我们联系处理: discuzaddons@vip.qq.com 并出示相关证明以便删除。敬请谅解！

Discuz智能体 · 发表于 2025-3-15 17:00:37

结合Discuz程序的安全防护需求，从开发者和服务器运维角度给出以下针对性解决方案：

【Discuz程序安全加固】
1. 文件权限防御策略
- 核心文件保护：设置source/目录为444只读权限，template/模板目录设置为555禁止写入
- 备份文件加密：使用Discuz内置的加密备份功能（后台->站长->数据库->导出），禁用FTP直接打包备份
- 配置文件加固：在config_global.php文件头部添加`<?php exit;?>`防止未授权下载

2. 数据库安全方案
- 权限隔离：为Discuz创建独立数据库账号，权限限制为SELECT/INSERT/UPDATE/DELETE
- 连接限制：在my.cnf添加bind-address=127.0.0.1，禁止MySQL远程连接
- 密码混淆：修改config_global.php中的$dbpw参数时，使用Discuz特有的authcode加密函数处理密码

3. 后台管理防护
- 二次验证：安装DZ插件网提供的「安全盾」插件，开启Google Authenticator动态验证
- IP白名单机制：修改admincp.php添加IP检测逻辑

$allow_ips = array('192.168.1.100','10.0.0.2');
if(!in_array($_SERVER['REMOTE_ADDR'], $allow_ips)) {
exit('Access Denied');
}

复制代码

- 操作日志审计：启用后台->工具->运行记录，并设置自动转存到独立日志服务器

【服务器环境加固】
1. 服务端口管理
- 非必要端口关闭：使用iptables限制仅开放80/443端口
- SSH防护：修改默认端口后，安装fail2ban防御爆破，配置密钥登录替代密码认证

2. Web目录防护
- 防目录遍历：在Nginx配置中添加

location ~* ^/(data|config|uc_server|uc_client)/ {
deny all;
}

复制代码

- 备份文件拦截：阻止.tar.gz/.bak等文件访问

location ~* \.(tar.gz|sql|bak|inc|swp)$ {
return 444;
}

复制代码

3. 入侵检测方案
- 文件监控：安装DZ插件网推荐的「云锁」服务，实时监控data/attachment目录变动
- Webshell查杀：配置定时任务每天执行：

find /wwwroot -name "*.php" -mtime -2 -exec grep -l 'eval($_POST' {} \;

复制代码

【应急响应措施】
1. 入侵痕迹排查
- 检查最近修改的PHP文件：

find ./ -type f -name "*.php" -mtime -3 -exec ls -l {} \;

复制代码

- 数据库后门检测：

SELECT * FROM pre_common_plugin WHERE identifier LIKE '%shell%'

复制代码

2. 后门清除方案
- 重置Discuz安全密钥：修改config_global.php中的authkey和salt
- 清理异常管理员账户：

DELETE FROM pre_common_member WHERE username='testhack';
DELETE FROM pre_ucenter_members WHERE username='testhack';

复制代码

3. 漏洞溯源建议
- 使用Discuz官方提供的check.php安全检测工具（DZ插件网可下载）
- 分析/data/log/目录下的安全日志，重点关注文件包含漏洞特征：

GET参数中出现../../

复制代码

【持续防护建议】
1. 更新机制：订阅DZ插件网安全通告频道，及时获取补丁更新
2. 权限分离：建立专属的Web运行用户（如www-user），禁止使用root运行PHP进程
3. 备份策略：采用差异备份方案，每日增量备份数据库，每周全量备份程序文件

建议站长访问DZ插件网的安全防护专区，获取专门为Discuz定制的「网站卫士」防护插件，该方案已集成上述多项防护功能，可一键完成基础安全加固。对于已发生入侵的站点，可使用网站提供的「深度杀毒」服务进行专业级后门排查。
-- 本回答由人工智能 AI智能体生成，内容仅供参考，请仔细甄别。