網(wǎng)站后臺(tái)的破解原理是什么

本篇文章為大家展示了網(wǎng)站后臺(tái)的破解原理是什么，內(nèi)容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細(xì)介紹希望你能有所收獲。

1）查找網(wǎng)站管理入口

一、猜測常見的網(wǎng)站后臺(tái)

1、http://你的網(wǎng)址/login.asp 

2、http://你的網(wǎng)址/admin/login.asp 

3、http://你的網(wǎng)址/admin/ /admini/

二、查看該網(wǎng)站的robots.txt

如：網(wǎng)站為：http://www.mmfi.net/

在后面添加：robots.txt

得到：

User-agent: *

Disallow: /wp-

Disallow: /feed/

Disallow: /comments/feed

Disallow: /trackback/

Disallow: /page/

Disallow: /category/*/page/

sitemap:http://www.mmfi.net/sitemap_baidu.xml

Disallow后面為不想被搜索的，可能就是后臺(tái)頁

這里可以使用 "御劍后臺(tái)掃描工具" 或其它的一些后臺(tái)目錄掃描工具來掃描網(wǎng)站后臺(tái)的目錄 / 文件信息。

"御劍后臺(tái)掃描" 工具將以列表的形式返回匹配到的目錄 / 文件供我們參考，我們需要通過分析工具返回的信息從中找到網(wǎng)站的后臺(tái)登錄入口。  

我們對 192.168.1.171 這個(gè)網(wǎng)站進(jìn)行目錄掃描并且已經(jīng)掃描到了相關(guān)的文件信息，其中就有一個(gè)名為 login.html 的文件，該文件一般就為后臺(tái)的登錄界面入口。

在上面的講解中，我們已經(jīng)學(xué)會(huì)了如何去獲得后臺(tái)的相關(guān)登錄界面信息，接下來我們開始對獲得的登錄界面進(jìn)行攻擊操作。

為了方便演示，我們以爆破路由器的后臺(tái)管理界面為例。

在執(zhí)行下面的操作時(shí)，因?yàn)橐褂?burpsuite 工具，所以我們需要安裝一個(gè) Kali 系統(tǒng)（可以使用虛擬機(jī)安裝），具體安裝過程這里不論述，請讀者自行下載安裝。

2）爆破前準(zhǔn)備

首先打開 Kali 系統(tǒng)桌面的 burpsuite 工具 ，先對其工具進(jìn)行以下配置：

其中圖 3 中新添加的監(jiān)聽地址，寫入默認(rèn) IP 地址設(shè)為 127.0.0.1，監(jiān)聽端口設(shè)為 9999，這里的 9999 是隨意的（建議設(shè)置值在 1024 之后）。

本條配置的作用是讓 burpsuite 工具監(jiān)聽流經(jīng)網(wǎng)卡 9999 這個(gè)端口的所有數(shù)據(jù)包，說白了就是竊聽管理員與服務(wù)器交互的所有內(nèi)容，將其保存下來。

接下來我們使用 Kali 系統(tǒng)的瀏覽器來模仿管理員登錄網(wǎng)站后臺(tái)的操作，并實(shí)施數(shù)據(jù)竊聽。

首先，我們先配置一下瀏覽器的代理設(shè)置，如下：

這里設(shè)置的代理 IP 地址和端口，必須和上面設(shè)置 burpsuite 工具時(shí)使用的地址一致！

3）正式開始攻擊

終于到了攻擊的時(shí)刻了，接下來我們以獲取路由器的管理后臺(tái)為例，實(shí)現(xiàn)攻擊：

假設(shè)管理員打開了路由器管理后臺(tái)界面，并執(zhí)行了登錄操作：

當(dāng)用戶執(zhí)行了登錄操作后（假設(shè)賬戶和密碼都是正確的），這時(shí)我們回到 burpsuite 工具，并切換到 HTTP history 選項(xiàng)中查看抓包信息。

在抓包列表中我們可以看到 burpsuite 工具抓到所有流經(jīng) 9999 端口的所有數(shù)據(jù)包信息，在此我們只需要在 URL 列中找到與管理員登錄管理后臺(tái)時(shí)使用一致的 URL ，點(diǎn)擊查看，即可查看到該數(shù)據(jù)包的所有內(nèi)容。

我們很輕松地，就找到正確的賬戶和密碼了。

上述內(nèi)容就是網(wǎng)站后臺(tái)的破解原理是什么，你們學(xué)到知識(shí)或技能了嗎？如果還想學(xué)到更多技能或者豐富自己的知識(shí)儲(chǔ)備，歡迎關(guān)注億速云行業(yè)資訊頻道。