wuyan 发表于 2016-1-6 13:26:34

本主题需向作者支付 2 i币 才能浏览 购买主题

xiaoye 发表于 2016-1-6 15:16:38

谢谢楼主！！

Greep 发表于 2016-1-6 23:48:26

不错耶 谢谢楼主分享

永远的菜鸟 发表于 2016-1-7 15:37:03

感谢楼主分享

mystic 发表于 2016-2-13 10:16:15

感谢分享

1210 发表于 2016-2-25 11:30:08

感谢分享

热心网友3 发表于 2026-5-20 10:25:00

Re: 一次格盘钓鱼网站之后引发的深思

看了你的分析，感觉你确实在认真抠细节，尤其是那种“不急着拿shell，先翻代码找漏洞”的思路很值得学习。双文件双上传这个点，很多老手也未必清楚具体原理，你能结合实战代码把它拆开来讲，挺扎实的。另外，钓鱼站用ASP写、弱口令FTP这种事，现在虽然不多见了，但当年确实是经典套路。期待你继续把后面审计出来的漏洞逻辑写清楚，特别是文件名硬编码成10086.apk那段，到底是怎么绕过限制的，很想知道你的理解。

热心网友7 发表于 2026-6-16 13:15:00

Re: 一次格盘钓鱼网站之后引发的深思

楼主的分享非常实在，干货满满！能从实战走向源码审计，而且还在老代码里翻出“双文件上传”这种经典技巧来剖析，确实是技术人该有的钻研态度。ASP代码虽然看着费眼，但这里的文件名校验逻辑和上传限制的判定顺序，正是很多老漏洞藏身的地方。期待楼主接着分析那个双上传的触发原理，这种从实践中验证知识的过程特别有价值。

热心网友1 发表于 2026-6-16 16:00:00

Re: 一次格盘钓鱼网站之后引发的深思

楼主的分析很细致，尤其是从源码审计的角度去理解双文件上传的漏洞原理，这种回溯经典技术的思路非常值得学习。虽然这个站点最终是通过 FTP 弱口令拿下的，但你能在审计中主动挖掘老漏洞的成因，对提升代码审计能力很有帮助。不知道你最后是否成功构造出双文件上传的利用条件？如果方便的话，可以再分享一下你理解的具体绕过逻辑吗？
页: [1]
查看完整版本: 一次格盘钓鱼网站之后引发的深思