渗透测试 |记一次黑入盗号网站后台

原创最新推荐文章于 2026-06-26 15:04:08 发布 4.7k 阅读 AI写同款

1万+粉丝2151篇原创

关注

渗透网站后台 web渗透中常常需要渗透网站后台，但想我一样比较年轻的肾透大师们因找不到网站后台而烦恼，其实这是非常简单的。可以看到已经打开了网站后台登录页面，接下来靠你们自己来探索剩下的了，比如hydra爆破(˃ ⌑ ˂ഃ )。可以看到扫描出了两个名为admin的文件，我们拼接模板看看如何拼接:目标/admin.php。DirSearch，一个由Python开发的强大的目录扫描工具。安装完成后启动工具看看使用说明，输入dirsearch启动。显示输入-u 目标，我们随便找个模板看看。阅读详情

AI摘要

本文记录了一次针对盗取QQ号码的网站进行渗透测试的过程。通过SQL注入技术，成功获取了后台数据库信息，包括管理员账号密码，并进一步进入了后台管理系统。

某学校群聊又有人被骗了，发了类似这样的内容，点进去一看就是伪装成QQ邮箱或者QQ空间后台的网站，骗取QQ号码。

随便填写账号密码后，有一个假的学籍查询表单，让你填一些敏感信息啥的（黑入后台后发现居然真有人写了，汗）。突然心生一意：要不试试SQL注入看看？

过程

1、分析后台接口

直接浏览器F12，点开网络，然后随便输个账号密码，点登录，就抓到登录接口了。

负载payload里可以看到请求的参数为u、p、step三个参数，此处图片就不展示了。

在这里插入图片描述

2、利用apipost或者postman，尝试对后台进行SQL注入：

设置u为‘and 1=1 即出现select的报错提示：

在这里插入图片描述

再设置为’and 1=1 #10086，此时出现insert插入失败的提示

看来后台是先select一遍数据库确定该用户此前不存在，再insert到数据库里的。从insert内容可以看出会记录ip和地址等信息，因此单ip下发送大量垃圾信息也可以轻松过滤掉。

3.既然有个select 那自然有很大的操作空间

关于如何注入,可以看：(SQL注入实战之报错注入篇（updatexml extractvalue floor）_bckBCK的博客-优快云博客_updataxml报错注入

SQL注入之PHP+Mysql - Byskkip - 博客园 (cnblogs.com)

SQL注入-攻入Apple ID钓鱼网站实录 - msp的昌伟哥哥 - 博客园 (cnblogs.com)

我使用以下SQL注入套取信息（替换用户名参数如下）：

’ and updatexml(1,concat(0x7e,(select database()),0x7e),1) – 1008611

以上这条可以套取到database()的信息，套取出来结果是d149

在这里插入图片描述

同理替换select database()为其他语句可以套出MySQL版本信息，本人套出来为5.6

在这里插入图片描述

根据此前套出来的select和insert语句还可以套出来cc_users表中的其他信息，操作如下：

' and updatexml(1,concat(0x7e,(select group_concat(username) from d149.cc_users),0x7e),1) -- 1008611

需要使用concat语句连接查询结果，否则会因为子查询的row数量>1而报错。或者使用limit语句，一个一个的套出来也可以。

我尝试使用drop table cc_users.报错。

注意默认情况下能套出来的信息长度有限制，不能直接全部套出来，只能套一点点。

只有这些内容当然没什么用，我打算用SET语句

SET GLOBAL group_concat_max_len = 10240

修改concat语句默认的长度，但是报错。

尝试获取information_shcema.tables或information_schema.columns，来套取其他表或其他列的信息，结果请求不响应了，看来后台有防备啊。

4.重磅的来了：群里有位大佬直接套出了整个网站的源代码

怎么套的？直接原网站后面加上某个神秘数字.rar，下载下来就是源码…

结构大概如下：

其中有几个重要文件：

1.根目录login.php wap文件夹下的login.php

伪造的登录页面。里面可以直接看到后台所执行的SQL语句。

2.config文件夹下的_config.php文件

在这里插入图片描述

包括数据库名称设置，用户名设置，密码设置，可以看到数据库表的前缀为cc_

3.重点之一：通过搜索cc_users关键字，找到了数据库备份所在的文件夹：config/sbak/bdata，其下有一个文件夹，内部居然是全部的数据库备份！完整的数据库建表SQL赫然在内。

分析可知管理员表名称为cc_admins，内有f_userName,f_psw两个字段，分别对应账号、密码。还有一个f_userPwd,应该是密码MD5加密后的结果。

4.重点来了

通过搜索admin关键词，锁定了以下文件：
d141/admin.php

这就是整个系统的后台

直接在浏览器里域名+d141/admin.php，报了404？

考虑到此前套出来数据库名字为d149，访问域名+d149/admin.php，成功进入后台登录页面！

5.套取管理员账号和密码

此前通过分析源码已经得知管理员表名称和结构，直接通过以下SQL套取关键信息：

' and updatexml(1,concat(0x7e,(select group_concat(f_userName) from d149.cc_admins),0x7e),1) -- 1008611  
  
' and updatexml(1,concat(0x7e,(select group_concat(f_psd) from d149.cc_admins),0x7e),1) -- 1008611  
  
' and updatexml(1,concat(0x7e,(select group_concat(f_userPwd) from d149.cc_admins),0x7e),1) -- 1008611

套取出来的信息居然和前面数据库备份的信息一模一样。（userPwd由于过长，后面有个字母f没套出来）

直接利用用户名和密码，成功进入后台：

在这里插入图片描述