Web大马爆破工具是一个绿色免费的webshell暴力密码工具,它支持asp、php、aspx和jsp功能,使用简单,功能强大,需要的欢迎下载!
功能介绍
速度快
支持python 2.x和python 3.x
支持读取大密码字典文件。
支持删除大密码字典文件的重复密码。
支持Web服务的自动检测。
支持强力批量webshell urls密码。
支持自动伪造请求头。
目前支持php,jsp,asp,aspx webshell。
web破解参考方法
那么换一个思路,利用后台可以抓包备份的漏洞,把这个webshell被分为任意可下载的文件,如doc,rar,zip等。
好了,好戏开场,fiddler2上场,进行断点设置,befor requests。备份数据库,抓包改包:
a.asp是那个webshell。这里有个小插曲,本来后台路径是admin,那么“..”就代表上一级目录,我这届省略“..”然后写后面的路径,页面竟然返回错误,非要从admin返回到上一级再到admin目录才会成功,这个后台怎么这么绕呢?哪位大牛来解释一下啊?好了,可以看到备份的upfiles/e/目录下出现了目标doc文件:
好了下载到本地打开看看,直接doc后缀也能看,不用改为txt。
行了,大牛的webshell拿到了,让你你得瑟,哼!
好了,总结一下这种拿大牛webshell方法,利用数据库备份,将要备份的数据库路径通过抓包改为webshell的路径,备份到的路径就随便了,不过后缀要改为doc等可以下载的文件后缀,不要再改为asa,asp什么的,然后下载到本地看源代码,就ok了~