windows常见的几种上传漏洞iiswrite桂林老兵+解析漏洞

一，常见的漏洞分类：

• 服务器配置不当导致文件上传（一般在windows的写权限漏洞管理不严）
• 本地文件上传限制可以绕过
• 开源编辑器存在上传漏洞
• 服务器端过滤不严格可以绕过
• 解析漏洞导致的文件执行
• 文件路径截断修改

上传漏洞的利用：

• 直接快速得获取网站web权限
• 配合其他漏洞获取网站权限

漏洞形成的原因：
在服务器配置不当的时候，可能上传文件的页面都不需要，就可以直接上传文件一般是http请求put方法，当然web服务器默认是不开启put方法的，出现该漏洞的原因主要是管理员对服务器的配置错误。
常见的主要就是管理员错地打开了IIS的服务器的WEBDAV而且没有开启权限认证。导致可以put上传文件到服务器再利用服务器的解析漏洞运行恶意代码或用webdav的move方法将所上传的带有恶意代码的普通文件后缀修改为可执行文件后缀，运行恶意代码。

iiswrite桂林老兵工具

。

二，windows服务器解析漏洞：

• 是指web服务器因对http请求处理不当导致，将不允许可执行的脚本，文件等当做了可执行的脚本来进行执行，该漏洞一般配合服务器的文件上传功能，获取服务器权限

解析漏洞大致分类：

• IIS5.x/6.0解析漏洞
• IIS7.0/IIS7.5/nginx <0.8.3畸形解析漏洞
• nginx解析漏洞
• apache解析漏洞
• cve-2013-4547 nginx解析漏洞

三，文件上传漏洞绕过验证方法

• 在浏览器禁用JavaScript验证
• 本地上传表单（不通过网站给的上传功能，本地构建上传表单绕过本地JavaScript验证）
• burp suite代理拦截上传（发送到Repeater然后修改内容上传）
• 删除或添加js代码

声明：
切勿使用在本网站学习的方法攻击其他计算机，保护网络安全，人人有责，做一个维护网络安全的人。
该网站编写此类文章的目标是为了让渗透测试爱好者在学习过程中更好的掌握技巧和方法同时也让广大网民了解黑客是如何对互联网进行攻击的从而更好的保护网络财产安全，如果使用在本站学习的方法和技巧攻击其他计算机的造成的后果自负，与本站无关，学技术不是为了搞破坏,而是为了更好的去保护我们祖国的网络安全！