拿到webshell

拿到webshell的那一刻，我盯着屏幕上跳动的光标，愣了三秒。不是兴奋，是种奇异的平静——就像你费尽心思撬开一扇门，发现里面只是间空屋子。 那是个老旧的政府站点，PHP 5.2，SQL注入点藏在搜索框里。报错信息直接回显，连布尔盲注都省了。我用了不到十分钟，通过`union select`把管理员密码hash拖出来，md5在线破解，明文是`123456`。后台在`/admin`，登录，找到模板编辑功能，写入一句话木马，蚁剑连接。 整个过程流畅得像教科书演示。但真正让我记住的，是那个站点首页的更新日期——停在三年前。安全公告栏里贴的还是2015年的补丁通知。 这行当干久了，你会发现漏洞利用从来不是技术问题，是管理问题。你看那些被拿下的站，十有八九是弱口令、未打补丁、后台暴露。真正的硬骨头——比如某银行的网银系统——我试过，WAF拦得死死的，参数编码绕了三层还是被识别。但谁会去啃那种骨头？风险高，收益低，还可能被反追踪。 更多时候，webshell是“送”到你面前的。去年某次授权测试，目标是个内部OA系统。登录页提示“技术支持请联系xxx”，我顺手在搜索引擎里搜这个QQ号，居然关联到开发者在GitHub的测试仓库，里面放着完整的数据库备份文件。下载，解压，管理员账号密码直接明文躺在config.php里。连注入都省了。 拿到shell后的操作，每个人都有自己的习惯。我的流程是：先`whoami`确认权限，再`systeminfo`看补丁版本，然后上传提权辅助脚本。但八成情况，到第三步就停了——低权限就够了。内网横向渗透？那是红队演练的剧本，实际授权测试里，客户只要看到能执行系统命令，就足以证明风险。 有一次，我拿到shell后顺手看了下服务器上的文件夹，发现个叫“重要”的目录。点进去，里面是历年员工的工资条Excel，还有份没签完的采购合同。那一刻我有点恍惚——这些数据就暴露在一个没打补丁的Tomcat下，而这家单位的网络安全预算，据说每年几十万。 说回技术本身。现在的webshell越来越难留了。主机安全软件查杀得厉害，很多客户装了EDR，文件落地就被隔离。所以现在流行内存马——不落盘，直接注入Java进程。但那玩意儿需要更深的漏洞利用链，不是每个站都有条件。 有次测试一个金融平台，Spring框架，我试了SpEL注入，绕过了WAF的字符过滤。命令执行成功，但没回显。折腾了半小时，用DNSlog外带数据，才确认命令确实执行了。那种情况下，webshell根本写不进去——目录权限锁死了，只能靠内存马或者定时任务反弹shell。 我关掉蚁剑，清理了日志，把上传的木马文件删干净。这是行规——授权测试结束必须恢复现场。但我知道，那个站点的后台模板目录下，可能还残留着编辑器自动生成的备份文件，里面藏着我的连接密码。 拿到webshell从来不是终点。它像把钥匙——打开了门，但门后有什么，取决于你的目的。有人为了数据，有人为了跳板，有人只是证明“我能进来”。我见过最讽刺的一次，某单位的网站被植入挖矿木马，运维居然没发现，直到服务器CPU飙到100%才报警。木马是三个月前被人通过后台弱口令放进去的，期间一直悄无声息地挖着门罗币。 技术这东西，本质是中性的。SQL注入、文件上传、反序列化——都是工具。区别在于，谁在用，用来干什么。我见过白帽子用同样的手法帮企业堵上漏洞，也见过黑产用同样的漏洞拖走几万条公民信息。 那天晚上我走出机房，外面下着雨。手机弹出条推送，某大厂又被爆出数据泄露。我看了看，还是同样的配方——一个未授权的API接口，配合一个没人清理的测试账号。 你问我拿到webshell什么感觉？就像解开一道复杂的数学题，答案其实早就写在题目里。只是大多数人，连题目都懒得读。