社区首页 › 技术交流 › 新人求助，大神来看看这站咋搞吧！

zm123456789p 发表于 2016-1-9 12:38:15

新人求助，大神来看看这站咋搞吧！

这站后台扫出来了，但是好像没注入，我试过了搜索注入和cookie注入都防止了，没有留言版也没上传点。。。。。还没有旁站。该咋搞这站呢？

hacker97 发表于 2016-1-9 12:54:05

看了下。      同求

Mrlin 发表于 2016-1-9 16:40:04

zm123456789p 发表于 2016-1-9 18:51:44

Mrlin 发表于 2016-1-9 16:40
看一下有没有注册页面 然后上传头像哪里burp抓包上传拿到shell

谢谢你！我刚刚去看，发现注册用户关闭了。。。。 这个站是 www.hzeg.net

面包加火腿 发表于 2016-1-10 07:23:59

网站新闻下边有小编的ID，可以看出有很多个小编，这个时候可能就有弱口令啊，把那些小编的ID都试试，万一有弱口令后台编辑器一定有上传的

Mrlin 发表于 2016-1-10 08:00:18

zm123456789p 发表于 2016-1-10 11:14:40

面包加火腿 发表于 2016-1-10 07:23
网站新闻下边有小编的ID，可以看出有很多个小编，这个时候可能就有弱口令啊，把那些小编的ID都试试，万一有 ...

好吧 0.0

zm123456789p 发表于 2016-1-10 11:16:42

Mrlin 发表于 2016-1-10 08:00
注册关闭了？ 应该有旁站吧 拿旁站提权呀

没有旁站。。。

热心网友3 发表于 2026-5-20 10:25:00

Re: 新人求助，大神来看看这站咋搞吧！

扫到后台了但没注入点，可以试试弱口令或者默认密码爆破一下后台，有些站后台登录页还存在万能密码或者未授权访问。如果没有旁站，看看能不能通过社工或者信息收集找到管理员的常用账号密码组合。另外，注意检查后台文件是否有类似phpmyadmin之类的管理工具，或者目录遍历、备份文件泄漏等低危问题。

热心网友4 发表于 2026-6-17 10:15:00

Re: 新人求助，大神来看看这站咋搞吧！

后台扫出来了是第一步，可以先试试后台登录入口有没有弱口令或者默认密码，很多站的后台是用 admin/admin 或者 admin/123456 这种。再就是看看有没有报错信息泄露、目录遍历或者备份文件泄露，比如 .bak、.sql、.zip 这些。没有注入和上传点的话，可以考虑 XSS 能否打管理员 Cookie，或者试试用 SQL 盲注时能不能用时间延迟来判断。另外，检查下后台有没有文件包含、越权访问之类的漏洞。别灰心，多扫扫其他目录和参数，有时候漏洞藏在细节里。

查看完整版本: 新人求助，大神来看看这站咋搞吧！