移花接木,如何利用第三方服务发动WEB攻击

2013-11-08 143638人围观 ,发现 12 个不明物体 WEB安全

注:本文来自于投稿或网络,且仅用于安全测试、教学,严禁任何非法用途!

继《走近科学:如何利用Google机器人进行SQL攻击》后,咱们来讨论讨论如何利用三方服务进行移花接木。

在很久之前,我们就在加速乐的离线日志中发现了来自谷歌爬虫攻击,事实上,不止谷歌爬虫,包括百度之类的也在内,如下图,是我们一个内部平台找到的一条来自百度爬虫的注入:

验证下这个IP:123.125.71.99:

除了百度、谷歌,还有其他。利用其他三方网站的服务去请求payload实际上是很容易的。例如,我还从加速乐日志里发现来自google reader等等。

来点实际的。比如,我可以用鲜果阅读的订阅去向我博客提交注入请求:http://lx.shellcodes.org/show.php?id=4 and 1=1

订阅这条带payload的地址后,我从博客的日志中就发现了攻击请求:

这个IP其实就是鲜果订阅的IP。

百度网盘也可以,新建个下载任务:

接着看日志:

像百度网盘这些提供了API服务的,是不是写点脚本批量攻击呢;还有一些服务可以看到请求后返回的HTTP状态的,是不是更精准知道攻击结果呢。。理论上可以绕过一些IP白名单,剩下的看官们自己发挥吧,我继续工作了。

这些评论亮了

  • 匿名 回复
    )46( 亮了
  • 河蟹 回复
    我说话怎么这么s*?我怎么和个二*一样一句话拆成好几次说?我看我自己说话我真想捅死我自己! 小编我骂自己可以把...不违反规则吧...
    )13( 亮了
  • YesCK (2级) 只留下了背影~ 回复
    我在想怎么看到返回的结果?
    )6( 亮了
发表评论

已有 12 条评论

取消
Loading...
css.php