屌丝安全论

最新推荐文章于 2021-07-07 15:22:19 发布

u011886490

最新推荐文章于 2021-07-07 15:22:19 发布

阅读量520

点赞数

CC 4.0 BY-SA版权

分类专栏： PHP

本文链接：https://blog.youkuaiyun.com/lampzdrj/article/details/10603709

PHP 专栏收录该内容

185 篇文章

订阅专栏

本文介绍了因MySQL弱口令导致的安全风险，并演示了如何利用这些弱口令进行攻击，最后给出了具体的防御措施。

文章开始前先让我苦逼下，刚来兄弟连第2个星期的时候下午听写被抓然后被爽哥奖励罚抄200遍，没人比我还多了有木有，在兄弟连不仅学到了技术还练了字有木有。爽哥你还可以在狠点我还坚持得住。哦克（强哥口头禅）正题开始.
    本人68期一屌丝，初中时接触电脑，深爱网络安全，由于自学效率低下，在大学浪费时间，所以特地前来兄弟连做逆袭前的准备，兄弟连真的狠爱我们，兄弟们加油。
    革命尚未成功,同志仍需努力。
    漏洞说明：mysql弱口令.（有40%-60%为弱密码，如root、123、123456 等）
    漏洞利用：利用phpmyadmin+mysql帐号及弱口令密码可导出一句话木马到网站路径，appserv安装后php是system权限。意思是传个php脚本木马就可以想干嘛干嘛了。
    有些童鞋可能会说是内网怕毛，用的学校的电脑我就不说了，用的自己电脑的兄弟硬盘里的视频也不可能让你成为什么门的主角。
    解决方法：把密码改强一些,在或则把phpmyadmin放到www目录外用的时候在拖回来
    演示工具：一句话客户端 “中国菜刀”  和某论坛内部远控:iFly Rat v1.0
    无图无真像:
   随便找了一台弱密码的童鞋
phpmyadmin 爆路径。。。也可以查看phpinfo.php

phpmyadmin爆路径的方法

写入一句话木马

连接一句话木马

...

whoami system权限你懂得

有了system权限一切都so easy 比如远控我给大家用我的虚拟机演示下某论坛的远控

屏幕控制。

键盘记录

用大量肉鸡来攻击别人比如网站。。横线画的是攻击的方式圆圈是攻击的目标方框框的是另外几种攻击方式。

超出图片限制了图太多了大概了解下就OK

OK 不管你看懂没有只是让大家懂得养成一个良好的习惯很重要。
做为一个程序猿在自己的机器上搭建环境进行测试是必不可少的，所以尽可能的别让自己的电脑被入侵破坏。建议大家使用wamp 可以切换在线方式和离线方式（只允许本机访问）。phpmyadmin目录也只允许本机访问。
当然appserv也可以设置找到apache的配置文件httpd.conf 中设置一下即可
ctrl+f 搜索一下然后把Allow From后面的内容改下没有的话自己添加
Options All
AllowOverride None
Order Deny,Allow
Deny From all
Allow From 192.168.120.*（这行是让某IP可以访问）
Allow From 127.0.0.1

不懂的或者想互相交流的可以跟帖留言。后续我还会发一些 web安全方面的文章。
疯子(跟随我10年+的外号)

阅读(35) | 评论(0) | 转发(0) |

上一篇：我认识php的前世今生

下一篇：谈一谈程序猿的成长过程