Board logo

标题: [讨论]数据库的admin密码不对怎么办？ [打印本页]
作者: 巧克力猪头    时间: 2005-11-13 20:11     标题: [讨论]数据库的admin密码不对怎么办？

    才学黑快2个月了，先声明什么都不懂
   
   
    跨站漏洞，扫描这个网站，端口80.81.83.84，其中80.83为网页anyone可以看，但是81.84我无权查看，是防火墙限制IP查看么？发现有注入点，爆库查admin密码，有密码，没找到管理登陆页面，在一般用户登陆面，登陆失败。
   
    有个附属网站，不是一个服务器（IP不一样），用admin登陆，特别的会提示管理员密码不正确，所以，用溯雪爆密码，爆了3个密码（和上面admin密码又不一样），还是不正确。倒罗~~~~
        
    最后的最后，我是成心学习来的，
作者: 天空飞人    时间: 2005-11-14 17:36     标题: [讨论]数据库的admin密码不对怎么办？

估计扫到的密码是错误的...或者已经被管理员更改了的
作者: 巧克力猪头    时间: 2005-11-14 17:52     标题: [讨论]数据库的admin密码不对怎么办？

下面引用由天空飞人在 2005/11/14 05:36pm 发表的内容：
估计扫到的密码是错误的...或者已经被管理员更改了的
   溯雪扫的密码很有可能是曾经用过的密码，不对是可以理解的，但是数据库里admin密码登陆失败我想是另有原因：
   ⑴管理员把admin这个名存实亡的用户留在数据库里面，而使用其他拥有admin权限的ID进行管理，并且把这样的用户另外保存在别的数据库里面，有效防止关键的密码和用户名爆漏
   ⑵管理员根本没设置任何有用的ID在数据库里面，这个网页不用登陆，干脆用后门控制，关键的后门管理页面端口81，84在防火墙下面禁止别人查看，应该会有密码的
   
   这仅仅是我个人猜测，菜鸟就是会胡思乱想，你们有什么办法呢？
   （是不是有点难啊？）
   

    最后自己顶下免得沉到海底了
作者: 巧克力猪头    时间: 2005-11-14 19:54     标题: [讨论]数据库的admin密码不对怎么办？

    补充：爆的数据库应该不会是废弃的数据库，里面存有当前网页文章列表还有一些名单。
   斑竹回复问题是不是只要回了就不管了？
   我还不知道有什么办法，虽然方向不等于路，但是没有方向我是一定会迷路的~~~~~~~~~~~~
作者: 坏的刚刚好    时间: 2005-11-14 20:41     标题: [讨论]数据库的admin密码不对怎么办？

LZ爆出数据库路径后，就只须把数据库下载回来打开就可以看到全体的用户名及密码了；
假如下了数据库打开后，发现密码是无规则密码，直接输入也登不了的话要耐心；
那是经md5加密后的密码，必须先还原成明文密码才能使用，由于md5的不可逆性，
现在一般都是用穷举法破解的，所以如果密码足够强壮，我们也是很难破解的。
不过一般而言用一个破md5的软件挂上一晚上就应该能破出90%以上的密码了。
作者: chinanic    时间: 2005-11-15 09:23     标题: [讨论]数据库的admin密码不对怎么办？

如果是我，我就不用ADMIN作为真正的管理员表！
作者: 巧克力猪头    时间: 2005-11-15 18:00     标题: [讨论]数据库的admin密码不对怎么办？

下面引用由坏的刚刚好在 2005/11/14 08:41pm 发表的内容：
LZ爆出数据库路径后，就只须把数据库下载回来打开就可以看到全体的用户名及密码了；
假如下了数据库打开后，发现密码是无规则密码，直接输入也登不了的话要耐心；
那是经md5加密后的密码，必须先还原成明文密码　...
密码在mdb中是以明文的方式保存的，帐号admin，密码grw803280（网站不在这里写了免得论坛遭封）
估计是个备用的数据库，保存这么简单会不会是个陷阱呢？
6楼说不用admin作用户名是很有可能的，显然这个网站不止一个数据库，但是4个注入点都指向这一个数据库，是迷惑我么？我用的是“明小子3.5”
这个网站是个html，斑竹有什么思路讲解下，我自己去找资料学习，谢谢
作者: 巧克力猪头    时间: 2005-11-15 18:07     标题: [讨论]数据库的admin密码不对怎么办？

补充：上面我说了，端口81.84网页我无权查看，是否有工具能帮我 绕过去呢？系统信息©2005  All rights reserved. Designed by  ******
如果我能查看的话，应该会知道更多信息，应该会增加我的成功率，另外，我猜它上面一定会有查毒程序，为了不打草惊蛇，上传了个探针，但是不知所踪，后来上传了个批处理文件到C:\WINNT\system32下面，每隔2个小时自动添加帐号为****$的管理员，这2个都是不会被查杀的，也没什么效果，以上是我所做的，斑竹指点下方向
作者: 巧克力猪头    时间: 2005-11-16 17:40     标题: [讨论]数据库的admin密码不对怎么办？

自己顶下免得沉到海底了
作者: 青蛙    时间: 2005-11-16 19:12     标题: [讨论]数据库的admin密码不对怎么办？

如果是md5加过密的,一般大写字母加数字的组合就跑不出来了.
不知道楼主要想达到什么样的目的



欢迎光临 黑色海岸线论坛 (http://bbs.thysea.com/) Powered by Discuz! 7.2