得到DVBBS的ACCESS数据库后的想法

现在虽说网站管理员的安全意识都在提高，可是总有些人偏偏不信这个邪。我们在碰到论坛之类的开源程序时，所作的第一步就是先试试它的数据库是否是默认路径，能否被下载（要想大规模的搜索这种问题的话，你可以试试挖掘鸡这个软件）。

其实因为默认数据库而造成网站被入侵的这种问题还是很普遍。以下的内容就是我在一次安全检测中遇到的情况。

网址：http://www.xxx.net 首页就是一个论坛。看了下版权DVBBS 7.1 SP1。先试试默认数据库吧：http://www.xxx.net/data/dvbbs7.mdb,显示大小6.1M，论坛数据库应该是这个，因为默认是的2M多。下载下来后，先拿杀毒软件扫描的下（怕有人挂马）。没什么问题，管理员的密码就在里面啦！

很多人到这步就开始去网上搜索用MD5散列的明文了，要不就是拿机器跑。其实完全没有这个必要。呵呵前台是密码的是要的，但是后台密码我们可以通过日志得到：在Dv_Log这张表里面，我们可以通过点击 编辑/查找，在查找内容里面填上：oldusername,查找范围选择：字段任何部分 搜索选择全部，如果管理员改过后台密码的话，就能够搜索到这个字段，比如我这里就是： 

Dv_Log
l_content
oldusername=admin&username2=admin&password2=199882&AddAcceptIP=&adduser=admin&id=1&Submit=%B8%FC+%D0%C2

看见没有，管理员的密码就是199882。通常使用数据库默认路径的管理员都是输入对安全不太在意的，因此，他的前台密码很可能也是这个(如果不对的话可以试下COOKIES欺骗,注意密码段不是你的原始密码加密后的字符串,是TruePass那个字段里面的值).我试了下，成功登陆，上传了个MDB的木马，备份后得到webshell.
由于现在有专门搜索默认数据库的软件，如挖掘鸡，采用默认数据库的网站在我们发现的时候很大程度上是被人光顾过的，但如果这些人没把日志清除，呵呵，这可就便宜了我们这些后来者。

还是看看Dv_Log这张表，发现有数据库备份的情况，但备份的路径明显有点问题：

Dv_Log
l_content
DBpath=..%2FUploadFile%2F2006-6%2F20066273345858973.rar&bkfolder=&bkDBname=123.asp

明摆着是从UploadFile目录备份过去的，呵呵，有人先来过了，我们直接访问他的webshell试试。

晤，我这里是HYTOP，要密码的，呵呵，没关系，有他上传的东西呢，访问：http://www.xxx.net/uploadfile/2006-6/20066273345858973.rar 把他的传文件弄下来，后缀改成ASP后打开，里面是用VBENCODE加密的，解密后就得到密码了，直接登陆就OK了。这样我们就偷了别人的shell。而且没论坛的IP记录哦（IIS还是有的）！

所以我们的结论是：以后下载数据库后先看看有没有这种想送人的webshell。

本文没有什么技术含量，能够增加点你的入侵思路，也就达到本文的目的了。