黑客实战:教你轻松突破网站两层防线

2006-08-11 21:04:38  作者:  来源:天极网  文字大小:】【】【
昨晚拿了某一企业后台试了一下.可能版本是比较老的.但是我发现得还比较多.都是有关于'or'='or'这个比较老的漏洞.

  百度搜索引擎:企业网站后台管理系统登陆.会搜到很多.

  而且我还发现一个比较可笑的站.可是是管理意识强了过头了吧.

  进入的第一个界面,如图:

  看来是一个分支权限的后台管理.我们要的是admin权限.点总管理员管理的时候会有一脚本提示,请输入密码.如图:

  做过网站的朋友都知道吧.真正的密码已经躺在这个页面里了.

  我把这个界面下了回来!脚本内容如下:

以下是引用片段:
<SCRIPT LANGUAGE="JavaScript">
function password() {
var testV = 1;
var pass1 = prompt('请输入密码:','');
while (testV <1000) {
if (!pass1)
history.go(-1);
if (pass1 == "administrator") {
alert('密码正确!');
break;
}
testV+=1;
var pass1 =
prompt('密码错误!请重新输入:');
}
if (pass1!="password" & testV ==3)               
history.go(-1);
return " ";
}                                               
document.write(password());
</SCRIPT>

 


相关文章