SRC挖掘实战之某勒索病毒解密平台命令执行

主要观点总结

文章主要讨论了对目标网站的功能测试和安全漏洞问题，涉及文件上传、系统查询、SQL注入、命令注入、DOS服务等问题。

关键观点总结

关键观点1: 目标网站功能测试

文章提到访问目标网站并测试其功能，发现系统会将上传的文件带入内部病毒库查询，对比md5值或识别文件内容来判断病毒，并响应出解密方案。

关键观点2: 安全漏洞及风险

文章指出在上传文件的过程中可能会出现SQL注入、命令注入等问题，导致内部系统宕机。同时，如果系统允许Content-Type被恶意修改或执行JavaScript操作，可能存在XSS命令注入的风险。

关键观点3: 命令执行及验证

文章描述了使用ping命令通过dnslog进行命令执行的验证过程，以及利用curl和wget回显版本号来确认命令执行。同时提到了使用特定payload进行命令执行和反弹shell的方法。