搜索

[13] 2019-10-31_我是如何渗透学校的

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-15
2019-10-31_我是如何渗透学校的 我 是 如 何 渗 透 学 校 的 k a v   7 8 9 0 安 全 攻 防 实 验 室   2 0 1 9 - 1 0 - 3 1 目 标 ： 某 政 法 类 院 校 （ 我 的 学 校 ） w w w . x x x . e d u . c n 从 主 站 友 情 链 接 先 收 集 一 小 部 分 域 名 ， 开 始 挨 个 测 试 b g s . x x x x . e d u . c n c w c . x x x x . e d u . c n j w . x x x x . e d u . c n h q c . x x x x . e d u . c n j g d w . x x x x . e d u . c n a q g z c . x x x x . e d u . c n g h . x x x x . e d u . c n r s c . x x x x . e d u . c n x s c . x x x x . e d u . c n l g b c . x x x x . e d u . c n z h a o s h e n g . x x x x . e d u . c n j w c . x x x x . e d u . c n j x j y . x x x x . e d u . c n c j g l . x x x x . e d u . c n s z b . x x x x . e d u . c n g j j l . x x x x . e d u . c n t y b . x x x x . e d u . c n k j . x x x x . e d u . c n f l . x x x x . e d u . c n f x . x x x x . e d u . c n / f x k e y a n . x x x x . e d u . c n / k y c g j f s . x x x x . e d u . c n t s g . x x x x . e d u . c n j s j . x x x x . e d u . c n x x w l z x . x x x x . e d u . c n g l . x x x x . e d u . c n j s g c . x x x x . e d u . c n c x c y . x x x x . e d u . c n / c x c y / x s y . x x x x . e d u . c n 主 站 I P ： 1 2 1 . x x . x x x . 2 3 0 三 分 之 一 站 点 都 可 以 以 主 站 I P + 二 级 目 录 的 方 式 打 开 ， e g : 1 2 1 . x x . x x x . 2 3 0 / x x x / H t m l / M a i n . a s p （ 现 在 已 更 换 ） 0 x 0 0 1 . 对 自 己 人 下 手 ！ 因 为 本 人 是 计 算 机 系 的 ， 肯 定 要 从 自 己 系 下 手 ， j s j . x x x x . e d u . c n     a s p x + w i n 2 0 0 8 + i i s . 7 5 P a g e a d m i n 的 系 统 ， 开 启 了 静 态 ， 么 得 注 入 （ 可 能 是 因 为 我 没 0 d a y ） ， 百 度 搜 索 到 这 个 系 统 有 个 c o o k i e 欺 骗 漏 洞 ， 经 过 构 造 ， 将 c o o k i e 设 置 为 ： M a s t e r = 1 & L o g i n P r o c e s s = 1 & U s e r N a m e = a d m i n & L O g i n D a t e = 1 & V a l i c a t e = 1 2 b 3 6 e 4 5 c 2 d f 1 1 7 d 1 2 a 0 6 8 8 1 4 d 8 2 6 2 8 3 f 9 c 3 2 f 8 4 5 e 1 5 8 9 1 4 2 2 0 8 6 2 8 b 1 3 f & P e r m i s s i o n s = 1 然 后 直 接 访 问 h t t p : / / j s j . x x x x . e d u . c n / m a s t e r / m a s t e r / i n d e x . a s p x 即 可 绕 过 登 录 遂 很 简 单 的 就 进 入 后 台 。 网 上 公 开 的 g e t s h e l l 办 法 均 失 效 ， 翻 了 翻 文 章 发 布 的 地 方 传 图 片 处 有 F c k 编 辑 器 ， 同 样 的 网 上 的 f c k 编 辑 器 g e t s h e l l 也 行 不 通 。 就 自 己 研 究 了 一 下 ， 发 现 将 请 求 包 里 面 的 f o r m - d a t a 修 改 一 下 可 以 实 现 任 意 文 件 上 传 ， e g ： f o r m - + - d a t a 、 f o r m - / - d a t a ， 就 这 样 得 到 了 一 个 w e b s h e l l ， 权 限 为 N e t W o r k   s e r v i c e ， 服 务 器 上 有 3 6 0 全 套 + T e a m V i e w e r ， 未 开 放 3 3 8 9 因 为 当 时 是 2 0 1 7 年 ， 比 较 新 的 e x p 我 首 先 想 到 了 m s 1 5 0 5 1 ， 因 为 自 己 本 身 会 一 点 免 杀 ， 就 把 z c g o n v h 大 牛 的 e x p 下 载 来 处 理 了 一 下 ， 很 轻 松 的 拿 到 了 s y s t e m 。 因 为 T e a m V i e w e r 本 身 就 存 在 密 码 读 取 的 漏 洞 ， 也 拿 到 了 s y s t e m ， 遂 读 取 T v 密 码 + m i m i k a t z 读 取 a d m i n i s t r a t o r 密 码 远 程 操 控 。 读 取 到 的 管 理 员 密 码 为 ： Q A Z z x 1 2 3 4 5 6 /
然 后 打 开 啊 D 网 络 工 具 包 ， 查 看 1 9 2 . 1 6 8 . 0 . 1 - 1 9 2 . 1 6 8 . 0 . 2 5 5 网 段 和 学 生 上 课 机 房 网 段 的 存 活 主 机 ， 然 后 通 过 h s c a n 探 测 存 活 主 机 的 服 务 及 弱 口 令 。 结 果 如 下 ： 然 后 打 开 浏 览 器 ， W e b B r o w s e r P a s s V i e w ， 读 取 浏 览 器 保 存 的 密 码 ， 啥 都 没 有 。 然 后 翻 了 一 下 全 盘 的 文 件 ， 没 有 有 价 值 的 东 西 ， 只 看 到 了 管 理 员 的 Q Q ， 记 录 下 来 ， 加 到 密 码 本 里 ， 以 后 兴 许 用 得 到 。 0 x 0 0 2 . 我 想 改 成 绩 上 大 学 你 要 是 不 想 改 成 绩 ， 你 跟 咸 鱼 有 什 么 区 别 ！ j w c . x x x x . e d u . c n ， 正 方 的 教 务 系 统 最 新 版 ， 老 版 本 注 入 都 试 了 一 遍 ， 没 漏 洞 ， 对 服 务 器 端 口 探 测 ， 1 - 6 5 5 3 5 全 部 开 放 是 什 么 鬼 ！ ！ 怕 了 你 ！ 那 就 看 看 其 他 的 系 统 咯 ？ 主 站 有 个 o a 数 字 化 校 园 信 息 门 户 ， 也 是 正 方 的 ， 觉 得 应 该 可 以 通 过 o a 的 管 理 员 直 接 跳 转 到 教 务 系 统 ， 因 为 一 家 公 司 的 ， 而 且 都 是 老 师 办 公 的 系 统 ， 肯 定 两 个 系 统 会 有 关 联 。 就 尝 试 对 这 个 o a 进 行 测 试 ， 发 现 可 以 重 置 管 理 员 的 密 码 ， 重 置 用 户 名 为 a d m i n     密 码 保 护 问 题 答 案 填 1 ， 即 可 重 置 密 码 。
技 术 问 题 ， 没 能 g e t s h e l l 。 所 以 就 放 下 了 。 0 x 0 0 3   M S 1 7 - 0 1 0 来 了 ！ 放 了 一 段 时 间 ， 忽 然 m s 1 7 0 1 0 的 e x p 出 来 了 ， 集 成 到 m s f 里 面 了 ！ 我 的 小 兴 致 又 来 了 ！ 看 看 其 他 站 点 有 没 有 改 动 ， 发 现 科 研 处 、 法 学 系 和 创 新 创 业 中 心 的 网 站 ， 改 成 了 j a v a 开 发 的 同 样 的 c m s 系 统 ， 测 了 一 下 没 有 s t 2 ， 没 有 注 入 ， 于 是 乎 就 找 后 台 去 爆 破 弱 口 令 h t t p : / / c x c y . x x x x . e d u . c n / c x c y / m a n a g e r / l o g i n . j s p h t t p : / / f x . x x x x . e d u . c n / f a x u e x i / m a n a g e r / l o g i n . j s p h t t p : / / k e y a n . x x x x . e d u . c n / k e y a n c h u / m a n a g e r / l o g i n . j s p 没 有 验 证 码 ， 一 个 b u r p 就 可 以 搞 定 ， 把 常 用 用 户 名 和 密 码 字 典 全 部 安 排 上 ， 然 后 自 己 再 根 据 域 名 和 部 门 名 称 、 部 门 负 责 人 、 电 话 ， 构 造 几 个 用 户 名 和 弱 口 令 密 码 。 果 真 爆 破 成 功 一 个 ， 而 且 就 是 自 己 构 造 的 ， 用 户 名 ： c x y a d m i n ， 密 码 ： c h u a n g x i n g a n l i z j b   但 是 后 台 编 辑 器 是 个 K i n d E d i t o r ， 版 本   4 . 1 . 7 ， 么 得 漏 洞 。 但 是 法 学 系 的 前 台 是 有 下 载 中 心 的 ， 下 载 地 址 为 ： h t t p : / / f x . x x x x . e d u . c n / f a x u e x i / s e r v l e t / D o w n S e r v l e t ? f i l e n a m e = 1 9 2 1 6 8 2 5 4 0 0 2 2 0 1 8 0 4 1 6 1 0 3 9 0 9 4 9 7 2 5 7 . d o c 按 道 理 后 台 应 该 有 附 件 上 传 功 能 ， 但 是 同 一 个 系 统 ， 创 新 创 业 中 心 的 后 台 没 有 附 件 上 传 功 能 ， 就 转 去 研 究 法 学 系 的 后 台 弱 口 令 ， 又 查 了 查 之 前 渗 透 拿 下 的 数 字 化 校 园 办 公 系 统 ， 将 法 学 系 所 有 人 员 的 姓 名 + 生 日 + 联 系 方 式 全 部 组 合 排 列 再 次 生 成 密 码 册 进 行 爆 破 ， 再 次 爆 破 成 功 ！ 登 录 后 台 ， 确 定 有 文 件 上 传 功 能 ， 且 无 任 何 限 制 ， 可 上 传 任 意 文 件 。 但 返 回 连 接 为 下 载 连 接 ： h t t p : / / k e y a n . x x x x . e d u . c n / k e y a n c h u / s e r v l e t / d o w n l o a d S e r v l e t ? n e w s N a m e = 2 0 1 9 0 3 1 6 2 0 2 0 2 6 2 4 5 6 4 1 . j s p 然 后 就 猜 目 录 得 到 真 实 文 件 地 址 ： h t t p : / / k e y a n . x x x x . e d u . c n / k e y a n c h u / s e r v l e t / u p l o a d f i l e / 2 0 1 9 0 3 1 6 2 0 2 0 2 6 2 4 5 6 4 1 . j s p 菜 刀 连 接 翻 了 一 下 和 科 研 处 在 同 一 服 务 器 ， 但 是 和 创 新 创 业 不 在 同 服 务 器 ， 既 然 相 同 的 系 统 ， 后 台 应 该 功 能 一 样 ， 复 制 一 下 法 学 系 后 台 上 传 功 能 的 u r l ， 去 创 新 创 业 试 了 一 下 果 不 其 然 ， 同 样 的 方 法 g e t s h e l l 。 穿 了 个 c s 的 马 尔 运 行 上 线 ， g e t s y s t e m 成 功 提 权 。 。 同 样 的 操 作 ， 远 程 连 接 上 ， 在 服 务 器 用 啊 D 网 络 工 具 包 ， 扫 了 整 个 内 网 开 放 8 0 ， 8 0 8 0 ， 3 3 0 6 ， 1 4 3 3 ， 3 3 8 9 ， 4 4 5 的 服 务 器 。 很 多 ， 只 列 以 下 几 个 h t t p : / / 1 9 2 . 1 6 8 . 0 . 9 /               主 站 和 几 个 分 站       h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 0 /         h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 1 /                                                                     h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 2 /         h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 3               计 算 机 系 网 站                             h t t p : / / 1 9 2 . 1 6 8 . 6 6 . 2 : 8 0 8 0             w d c p   默 认 密 码 h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 2 0 /         综 合 校 情 况                     h t t p : / / 1 9 2 . 1 6 8 . 2 8 . 4 6 /                       教 务 管 理 系 统 h t t p s : / / 1 9 2 . 1 6 8 . 1 3 0 . 5 4 /                 V m w a r e 同 时 通 过 c s 转 发 ， 使 用 m s f 扫 内 网 m s 1 7 0 1 0 ， 发 现   0 . 1 1 、 0 . 1 2 、 0 . 1 3 三 台 机 器 ， 0 . 1 3 之 前 已 经 拿 下 ， 现 在 通 过 m s 1 7 0 1 0 拿 到 0 . 1 1 和 0 . 1 2 的 权 限 ， 在 某 次 登 录 0 . 1 1 时 发 现 有 个 Q Q 在 登 录 为 离 线 状 态 ， 查 看 资 料 发 现 为 网 络 中 心 管 理 员 Q Q ！ 立 即 通 过 Q Q 登 录 Q Q 邮 箱 去 收 集 信 息 ！ 果 真 皇 天 不 负 有 心 人 ！ 发 现 大 量 重 要 资 料 ！ 其 中 包 括 设 备 I P 列 表 、 密 码 文 件 . z i p 、 监 控 平 台 帐 号 及 密 码
抓 取 三 台 服 务 器 密 码 ： Q A Z w s 1 2 3 4 6 , . / @ 2 0 1 6   x 1 2 3 4 5 7 8 9 @                   a q # k e y n c h u 再 次 添 加 到 h s c a n 的 密 码 文 件 里 去 跑 。 同 时 去 看 一 下 密 码 文 件 . z i p 里 面 的 东 西 ！ 这 都 是 金 子 啊 ！ 看 到 V m w a r e . c 0 m 这 个 密 码 我 想 到 了 之 前 扫 w e b 服 务 的 时 候 ， 有 个 V m w a r e 的 ， 想 到 V m w a r e 有 个 远 程 连 接 ， 我 就 尝 试 i p 写 1 9 2 . 1 6 8 . 1 3 0 . 5 0 ， 用 户 名 是 r o o t ， 密 码 是 V m w a e . c m 立 马 过 去 登 录 ， 发 现 成 功 ， 还 提 示 可 以 用 客 户 端 执 行 更 多 操 作 ， 于 是 使 用 c o b a l t s t r i k e 转 发 出 来 ， 打 开 V m w a r e 客 户 端 操 作 我 放 下 了 其 他 的 活 ， 挨 个 尝 试 登 录 这 些 机 器 ， 只 有 三 分 之 一 的 可 以 成 功 使 用 之 前 抓 到 的 密 码 登 录 ， 登 录 成 功 的 每 一 台 也 都 用 W e b B r o w s e r P a s s V i e w ， 读 取 浏 览 器 保 存 的 密 码 ， 共 计 读 取 到 四 条 密 码 ， 其 中 包 含 教 务 系 统 a d m i n 账 号 的 密 码 ： h j 8 7 7 7 ， 也 查 看 了 m s t s c 登 录 历 史 是 否 有 保 存 密 码 ， 读 取 到 1 9 2 . 1 6 8 . 0 . 1 1 在 登 录 1 9 2 . 1 6 8 . 0 . 2 5 、 1 9 2 . 1 6 8 . 0 . 2 4 4 机 器 时 保 存 了 密 码 ， 登 录 上 1 9 2 . 1 6 8 . 0 . 2 5 之 后 发 现 是 个 数 据 备 份 系 统 ， 成 功 拿 到 所 有 站 点 数 据 库 （ 每 三 天 更 新 备 份 一 次 ） 。
1 9 2 . 1 6 8 . 0 . 2 4 4 是 个 舆 情 监 控 + 某 防 火 墙 系 统 ， 分 别 读 取 两 台 机 器 的 a d m i n i s t r a t o r 账 户 密 码 再 次 拿 到 两 个 密 码 ， 老 样 子 加 入 密 码 文 件 跑 。 成 功 跑 出 1 9 2 . 1 6 8 . 0 . 9 - 1 9 2 . 1 6 8 . 0 . 1 8 所 有 服 务 器 密 码 ， 几 台 服 务 器 分 别 架 设 了 除 教 务 系 统 之 外 的 所 有 w e b 。 在 成 功 登 陆 的 V m w a r e 数 据 中 心 的 服 务 器 中 ， 有 几 台 是 l i n u x 系 统 ， 且 为 登 陆 状 态 ， 使 用 m i m i p e n g u i n 也 无 法 读 取 ， 遂 以 失 败 告 终 。 经 查 看 这 几 台 l i n u x 系 统 分 别 架 设 的 是 教 务 系 统 、 教 务 系 统 数 据 库 等 。 0 x 0 0 4   终 端 我 也 不 放 过 ！ 在 图 书 馆 撩 妹 的 时 候 发 现 图 书 馆 有 借 书 终 端 和 阅 览 室 预 约 终 端 ， 看 到 这 些 还 撩 什 么 妹 ， 跳 沙 盒 去 了 ， 到 处 一 通 乱 点 ， 点 出 了 虚 拟 键 盘 ， 然 后 通 过 连 续 点 击 s h i f t 五 下 跳 出 了 桌 面 。 立 马 种 上 我 的 木 马 0 x 0 0 5   结 语 至 此 学 校 所 有 系 统 几 乎 全 部 沦 陷 ， 其 他 财 务 等 系 统 、 院 长 + 信 息 中 心 负 责 人 、 管 理 员 身 份 证 反 正 面 的 搞 定 ， 因 太 过 隐 私 不 予 讨 论 ， 文 中 很 多 截 图 因 时 间 久 远 无 法 补 全 ， 望 见 谅 ！ （ 附 上 图 ， 省 的 有 些 杠 精 说 ： “ 没 搞 下 就 没 搞 下 ， 还 不 予 讨 论 ” ）
以 上 内 容 均 已 提 交 至 学 校 网 络 信 息 中 心 、 院 长 办 公 室 。 因 种 种 原 因 有 些 漏 洞 仍 未 修 复 ， 但 学 校 为 政 法 类 院 校 、 机 密 单 位 ， 请 勿 尝 试 复 现 ！
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理