现在，很多大学都有自己的网站，这些网站的安全性比一般的个人网站好很多。但是黑客可以绕过网站，直接攻陷网站所在的服务器，就算网站本身的安全性再好，那么这个网站也会遭殃。而黑客绕过网站攻击服务器的方式中，最常用的就有旁注攻击。黑客ID：WenP黑客特长：精通各种注入攻击使用工具：旁注入侵专用程序Domain 3.5版黑客自白：我喜欢研究网络安全。随着研究的深入，我发现，作为网络中的重要单元——网站存在很多安全隐患。比如我们常见的溢出攻击和注入攻击都可以让黑客轻易获得网站的控制权限。在注入攻击中，旁注是现在比较常用的一种手段，它可以通过攻击一个存在漏洞的网站从而影响在同一个服务器的其他网站。这种攻击又称为跨站攻击，它是网站管理员的噩梦。入侵要成功，分析是关键根据对目标网站的分析，发现这个网站的服务器还为学生开设了个人空间。根据前期的“侦察”发现网站本身安全性还是不错，如果要攻击它，只有考虑使用跨站攻击，通过同一服务器的个人空间来攻击网站。小知识：跨站攻击可分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如：Dvbbs的Showerror.asp存在的跨站漏洞。另一类则是来自外部的攻击，主要指的是自己构造XSS跨站漏洞网页或者寻找非目标机以外的有跨站漏洞的网页，从而实施进一步入侵。tW.wIngwiT.CoM
俗话说：“工欲善其事，必先利其器。”要想能够跨站入侵，首先须准备功能强劲的“旁注Web综合检测”程序，当然你也可以使用其他的第三方软件进行检测，这里就以“黑客动画吧”的旁注器为例。从网上将工具下载到本地后（下载地址:http://www.hackerdown.com/soft/7.htm），打开“旁注”客户端程序，界面编辑区默认选择的是“旁注”标签，我们在保持不变的基础上，将所要检测的网站地址输入到“域名”文本处后，单击 “解析”按钮，其站点实际IP地址，就会出现在后面的文本处内。单击“查询”按钮，此时左侧所显示出的多个网址，就是服务器支持架设的多个网站，为了能够快速检测出这些站点安全性如何，请单击“网站批量检测”按钮，接下来再点击“开始检测”按钮。稍等片刻后，编辑区内就会出现存在风险的后台网站地址（图1）。巧妙利用漏洞很重要网站风险度可在后面结果栏内看到，然后逐个进入网站后台地址，尝试输入默认的admin账号和admin密码，或者利用在账号和密码区域内，分别输入'or'='or'字符命令，找到能够突破进入的后台。操作完毕后，看看后台里面有没有可上传文件的功能，这里笔者从中发现了一个可以上传图片的地方，但是却注明了只能上传GIF、BMP、JPG格式的图片，那么这就意味着我们的木马无法直接上传。因此，大家需要在其页面上方，单击“右键”按钮，选择“查看源文件”选项，将上传功能的源码，以HTML网页形式保存到本地机器。然后在本地以“记事本”形式打开此文档，从中找到限制上传格式的JavaScript段代码删除即可（图2）。我们还要找到“form Action”标记，因为我们现在要利用它在本地上传木马，所以你要指明所上传的网站，这里找到关键字后，在后面添入网站的地址补全保存。此时想上传自己的木马，只要正常打开已被修改的上传文件，单击里面“浏览”按钮，找到你想上传的木马文件，即可传送到网站目录内。上传木马 控制网站打开IE输入上传的具体位置，进入木马客户端界面，在上方文本处，输入想保存到网站目录的文件名后，将木马代码复制粘贴到下方编辑区（图3），单击SAVE（保存）按钮。
接下来打开IE浏览器，输入网站地址+木马文件名，进入到木马“登录”界面，如果默认没作修改，通常都是123456，当然也许你已经更改过了，那么你就输入更改过的密码进行登录。而后在木马控制界面里，为了能够快速准确跳转到WEB目录，在左侧单击“WEB根目录”标签。从中找到学校网站目录，这里可根据文件名拼写推理得出，当然你也可以逐个进入观看其里面包含的文件得出，是否自己想要修改的网站目录。找到后，你会发现网站目录包含的文件有很多，不过通常情况下主页文件名称都是default.htm或者index.htm，你只要按部就班地寻找并且修改，即可达到窜改网站主页的目的。
