预防旁注攻击Guests与Users要一视同仁

简介:
来源:[url]http://hackbase.com[/url]

  旁注攻击对虚拟主机的威胁比较大,不过现在很多虚拟主机都使用了一个网站一个用户的模式,遇到这种设置的机器还真的很是麻烦,能不能突破就全看对方管理员的安全意识了。我只是在这里提出一种突破方法,管理人员可以对此做好预防工作。 

  现在有的服务器安装了.NET Framework(win2003自带),也就是说IIS支持ASP.NET,如果你用net user发现存在ASPNET这个帐户就证明服务器是支持ASP.NET的(仅在win2000,XP下)。ASP环境下有海洋顶端等一系列的ASP shell,而ASP.NET下也有WebAdmin这个webshell。都是webshell,两者有什么不同吗? 

  呵呵,当然不同啦,一个是ASP而另一个是ASP.NET。不知道你注意过ASPNET这个帐户没有,他是你装上 .NET Framework 后才出现的。看看用户管理里的描述:“Account used for running the ASP.NET worker process (aspnet_wp.exe)”,这个帐户原来是拿来执行ASP.NET程序的。而ASP程序却是由IUSER_XXXXX这个帐户执行的。 

  问题的关键是IUSER_XXXXX隶属于Guests组,而ASPNET属于Users组。呵呵,Users组得权限稍大于Guests组,也就是说ASP.NET webshell的权限较之ASP webshell稍大些。 

  哇,要是一个虚拟主机仅仅限制了Guests组的权限而忽略了Users组,并且他又支持ASP.NET……嘿嘿,不用我说了吧^_^

















本文转自loveme2351CTO博客,原文链接:http://blog.51cto.com/loveme23/8244 ,如需转载请自行联系原作者








相关文章
|
2月前
|
存储 开发框架 安全
如何处理预防XSS漏洞攻击问题
防止XSS攻击需要从多个方面入手,包括输入验证和过滤、输出编码、设置正确的HTTP头部、使用最新的安全框架和库、定期进行安全审计和漏洞扫描以及培训和意识提升等。只有综合运用这些措施,才能有效地防止XSS攻击,保护网站和用户的安全。
|
安全 网络安全 PHP
网络安全-RCE(远程命令执行)漏洞原理、攻击与防御
网络安全-RCE(远程命令执行)漏洞原理、攻击与防御
831 0
网络安全-RCE(远程命令执行)漏洞原理、攻击与防御
|
3天前
|
数据采集 监控 安全
|
2月前
|
机器学习/深度学习 运维 监控
|
2月前
|
域名解析 安全 网络安全
全面了解CC攻击和防范策略
CC攻击是一种针对Web服务的攻击,模仿正常用户请求耗尽服务器资源。攻击类型包括直接、肉鸡、僵尸和代理攻击。目标包括网站、API、登录页面、基础设施组件、云服务、金融机构等。影响包括服务中断、性能下降、经济损失、品牌受损及法律问题。判断CC攻击可通过观察CPU上升、网站响应慢或检查系统日志。防护措施包括IP封禁、人机验证、使用安全加速服务、静态化页面、更改端口、完善日志和域名解析策略。CC与DDoS攻击主要区别在于攻击原理、对象、危害、门槛和所需流量。综合运用多种防御策略能有效抵御CC攻击。
|
2月前
|
存储 安全 Android开发
安卓安全性指南:保护用户数据免受恶意攻击
【4月更文挑战第13天】本文是安卓应用安全开发指南,强调了在数字化时代保护移动设备安全的重要性,特别是针对安卓平台。开发者应理解安卓的安全架构,使用最新SDK,安全存储数据(如加密和权限管理),执行代码安全实践,应用签名,遵循安全编码标准,定期审计,及用户教育。通过这些措施,可降低应用遭受恶意攻击的风险,确保用户数据安全。
|
2月前
|
缓存 负载均衡 安全
每天一技:全面了解CC攻击和防范策略
CC攻击是一种模拟真实用户请求,导致服务器资源耗尽的网络攻击。攻击者利用工具生成木马,控制大量“肉鸡”对目标网站发起恶意请求,使服务器CPU过载,网站无法正常服务。特点是请求有效、IP分散、数据包真实、针对网页。常见类型包括直接攻击、肉鸡攻击、僵尸攻击和代理攻击。判断CC攻击可通过观察CPU usage飙升和系统日志异常。大型网站如某度、Google因代码规范、硬件配置高、缓存策略、严格防火墙和负载均衡等技术能有效防御。防御措施包括IP封禁、人机验证、静态化页面、更改Web端口、日志分析等,或使用SCDN产品提供全面防护,包括Web攻击防护、DDoS防护、合规性保障、流量管理和安全可视化功能。
|
10月前
|
SQL 安全 Shell
入侵检测之sqlmap恶意流量分析
入侵检测之sqlmap恶意流量分析
154 0
|
9月前
|
SQL 安全 关系型数据库
渗透攻击实例-SQL注射漏洞
渗透攻击实例-SQL注射漏洞
|
XML 安全 数据格式
XXE漏洞原理/防御
原理 XXE又叫 XML外部实体注入 , 攻击者修改DTD引入的外部文件 , 从而执行攻击 , 比如读取任意文件 , 命令执行 , 内网探测 或者 DOS拒绝服务 防御
194 0