|
|
 严防黑客染指Oblog博客权限 |
|
|
| |
个人专长：网站漏洞研究
技术难度：★★★☆
博客在网上很火，集聚了大量人气，但也引来了黑客的关注，一不小心自己的博客就可能被黑客控制。怎么，不信？我们来看一场拥有众多用户的Oblog博客攻防战，学习一下怎么保护自己的Oblog博客。
攻：豪夺Oblog博客管理权限
我要破解的博客程序是在国内拥有众多用户的Oblog博客，利用的是Oblog4.X漏洞(Oblog4.0与4.5等版本都存在漏洞)，造成该漏洞的原因是由于Oblog中的js.asp文件存在变量过滤不严，因此我们可以通过js.asp文件提交恶意数据，从而暴出Oblog管理员账号及密码。
利用Oblog4.X漏洞，配合《Oblog4.X漏洞暴管理员密码工具》，只需要简单的几步便可轻松获取到管理员权限。虽然操作简单，但效果却不含糊。有了管理员权限我可以获得博客高级会员资格，使用会员功能，甚至还能在博客上挂马……
现在，存在该漏洞的网站还是比较多，因为很多站长的安全意识都较低，没有及时地修复该漏洞，只要我们在搜索引擎里一搜索就能轻松找到。下面我们来看看怎么利用该漏洞。
小提示：该漏洞只针对Oblog这款程序，其他博客程序不受影响。
A.查找有漏洞的博客
运行《Oblog4.X漏洞暴管理员密码工具》（下载地址：http://www.cpcw.com/bzsoft），点击“搜索Oblog”按钮，程序便会自动利用“Copyright by Oblog.cn”作为关键字，在百度搜索引擎搜索。在搜索结果中可以看到大量采用Oblog架设博客的网站（如图1）。
图1
B.获取管理员密码MD5
从搜索结果中挑选一个网站，将网址复制下来，然后粘贴到程序中的“目标网址”一栏，并且注意不要在地址后面加“/”。点击“暴管理密码”，这时软件会弹出一个提示窗口，选择“确定”即可。然后程序会打开一个网页，如果只显示了“document.write('●');”这些字符，那就说明该漏洞是存在的。如果显示其他代码或其他网页，那就表示漏洞被堵上了（如图2）。
图2 接着在网页中点击右键，选择“查看源文件”，找到“&pid=”后面的MD5值，复制下来。这段MD5值就是管理员密码的MD5值。而“gid”后面是管理员账号。
小提示：MD5是一种加密方式，并且一般程序都会将用户密码用MD5方式进行加密，以防止密码泄露。并且系统会将用户登录时输入的密码计算成MD5值，然后再去和系统中保存的MD5值进行比较，来验证该用户的合法性。
C.解密管理员密码
点击软件中的“XMD5密码破解”或“CMD5密码破解”按钮，软件便会自动打开MD5破解网站（如图3），我们只须将得到的MD5值，复制到网站中进行解密便能得到密码的原文。这样我就轻松得到了博客的管理员账号与密码。
图3
防：Oblog博客防黑技巧
吃惊吧！黑客利用工具轻轻松松就破解了Oblog。那么我们如何防范类似的攻击呢？首先小编在这里提醒各位博客写手，在注册博客时尽量选择一些大型博客服务商，并且时刻注意备份自己的文章，同时密码也要设置成安全性较高的密码。而博客站长须注意以下两点：
1.登录官方网站下载安装最新版程序来修复漏洞，此外，还需要经常查看官方网站，及时升级到最新版本的博客，防患于未然。
2.将管理员密码更改成更为安全的密码，利用字符+数字+字母组合的密码，密码还要足够长，一般都要超过8位。密码复杂了，黑客就算得到MD5值也不能轻松破解。
|
|
| 发布日期：2019/11/23 |
| 宜昌打印机维修 复印机 一体机上门维修热线：13677173728 邢师傅 0717-6736581 |
|
