一次针对EduSrc的挖掘

ゝ一纸荒年。 2023-01-09 12:32 105阅读 0赞

# **0x00前言** #

最近是大事没有,小事不断,被调遣到客户单位做HW蓝方,没啥意思，整天盯着防护设备等待告警，正好一王者大佬最近在挖EduSrc，让帮着搞一搞，在50星荣耀王者的诱惑下，我准备开启我的EduSrc之旅。

# 0x01 年轻人不讲武德 #

通过对某个大学的C端扫描，扫到了一个学生管理系统

![图片][0310114ab766648c4c862f1ef9717758.png]

简单测试了一下，发现抓包验证码不断刷新，而且会提示"用户名不存在",这里就可以进行账号密码的爆破。

![图片][b13fee9e862ea1977f2eb046f8f96ce4.png]

很显然，我的百万大字典不配爆破，这网站不讲武德，放弃爆破。

![图片][b287cd97c565ab33e5c07be9a43fbaea.png]

# 0x02 偷袭 #

通过目录扫描，扫描到未授权页面

http://mabaoguo/admin/manage.asp

![图片][b6120db8cb9e55ee5686dbc57e4ea496.png]

![图片][b13fee9e862ea1977f2eb046f8f96ce4.png]

此未授权页面包含所有的用户ID值，怪不得我的字典没爆破出来，原来账号全是中文汉字，好家伙，以为我不会爆破了吗，反手就是一个偷袭爆破。

![图片][ba2a878a9ca0e41d8ee14287bf6b6fc0.png]

爬取所有id值进行爆破，爆破到大量弱口令，密码均为123456，但是用户都为普通用户。

利用爆破的账号进行登录

![图片][6148bd9ace59eaf5cc9ce929765eb3dd.png]

发现网站存在两处上传点

![图片][b5ff8a9860e6ec5b653f00ce9a64ef9a.png]

此处上传资源分享，因为账号权限问题，此账号不可以上传。

另一处上传点为导入数据的功能，只能上传execl文件。

![图片][8d04ca91e33c0c89e346a69a305729c2.png]

# 0x03 接化发 这次我没大意 成功拿下 #

![图片][01825143141426a7347ca74821517210.png]

抓包测试上传

![图片][b8095a8b19e649ce952fac2ce6c05b67.png]

上传的文件没有路径回显，此时测试一下是否进行了重命名，再次上传相同文件名文件。

![图片][7ccb7f2f74c527edd02c9c9639e1dc4c.png]

发现文件名变了，说明上传的文件没有进行重命名，下一步测试上传文件的路径，经过fuzz了多个目录，都没有找到文件位置。

![图片][688f80df26dfdbd4a97b2a7685ca70a2.png]

再回到上传包，尝试能否跳目录进行上传

![图片][9e5d6f31cfec4fd65e9002e10a5d8df7.png]

文件名前面加上../上传，发现上传成功的文件名又变成了6666.xls

说明上传的文件跳目录了

最后测试发现../../就到网站根目录了

![图片][2f42f6175ed512894310c8312a0912c6.png]

![图片][a0adc4c6cfaf37f00a69444b7fec69d9.png]

找到文件位置后，开始测试上传后缀

![图片][91430a920e1e558e71b103317d09859e.png]

![图片][0e80035379b72ea239651a4d533d596b.png]

经过多次测试发现为上传白名单，尝试多种方法，最后利用00截断成功getshell

![图片][4240591f38f28e1c43403effeed2ce72.png]

![图片][387b2489a5bdc1b565ec345921017b10.png]

![图片][4f20c6e1dd0c1bd6f424838b79a4b8f7.png]

![图片][c0cc0f06f46a34e2708c7555b99d13ad.png]

[0310114ab766648c4c862f1ef9717758.png]: /images/20221119/153ff21f638b410ba3f82d9babfc4ccf.png
[b13fee9e862ea1977f2eb046f8f96ce4.png]: https://img-blog.csdnimg.cn/img_convert/b13fee9e862ea1977f2eb046f8f96ce4.png
[b287cd97c565ab33e5c07be9a43fbaea.png]: https://img-blog.csdnimg.cn/img_convert/b287cd97c565ab33e5c07be9a43fbaea.png
[b6120db8cb9e55ee5686dbc57e4ea496.png]: https://img-blog.csdnimg.cn/img_convert/b6120db8cb9e55ee5686dbc57e4ea496.png
[ba2a878a9ca0e41d8ee14287bf6b6fc0.png]: https://img-blog.csdnimg.cn/img_convert/ba2a878a9ca0e41d8ee14287bf6b6fc0.png
[6148bd9ace59eaf5cc9ce929765eb3dd.png]: https://img-blog.csdnimg.cn/img_convert/6148bd9ace59eaf5cc9ce929765eb3dd.png
[b5ff8a9860e6ec5b653f00ce9a64ef9a.png]: https://img-blog.csdnimg.cn/img_convert/b5ff8a9860e6ec5b653f00ce9a64ef9a.png
[8d04ca91e33c0c89e346a69a305729c2.png]: https://img-blog.csdnimg.cn/img_convert/8d04ca91e33c0c89e346a69a305729c2.png
[01825143141426a7347ca74821517210.png]: https://img-blog.csdnimg.cn/img_convert/01825143141426a7347ca74821517210.png
[b8095a8b19e649ce952fac2ce6c05b67.png]: https://img-blog.csdnimg.cn/img_convert/b8095a8b19e649ce952fac2ce6c05b67.png
[7ccb7f2f74c527edd02c9c9639e1dc4c.png]: https://img-blog.csdnimg.cn/img_convert/7ccb7f2f74c527edd02c9c9639e1dc4c.png
[688f80df26dfdbd4a97b2a7685ca70a2.png]: https://img-blog.csdnimg.cn/img_convert/688f80df26dfdbd4a97b2a7685ca70a2.png
[9e5d6f31cfec4fd65e9002e10a5d8df7.png]: https://img-blog.csdnimg.cn/img_convert/9e5d6f31cfec4fd65e9002e10a5d8df7.png
[2f42f6175ed512894310c8312a0912c6.png]: https://img-blog.csdnimg.cn/img_convert/2f42f6175ed512894310c8312a0912c6.png
[a0adc4c6cfaf37f00a69444b7fec69d9.png]: https://img-blog.csdnimg.cn/img_convert/a0adc4c6cfaf37f00a69444b7fec69d9.png
[91430a920e1e558e71b103317d09859e.png]: https://img-blog.csdnimg.cn/img_convert/91430a920e1e558e71b103317d09859e.png
[0e80035379b72ea239651a4d533d596b.png]: https://img-blog.csdnimg.cn/img_convert/0e80035379b72ea239651a4d533d596b.png
[4240591f38f28e1c43403effeed2ce72.png]: https://img-blog.csdnimg.cn/img_convert/4240591f38f28e1c43403effeed2ce72.png
[387b2489a5bdc1b565ec345921017b10.png]: https://img-blog.csdnimg.cn/img_convert/387b2489a5bdc1b565ec345921017b10.png
[4f20c6e1dd0c1bd6f424838b79a4b8f7.png]: https://img-blog.csdnimg.cn/img_convert/4f20c6e1dd0c1bd6f424838b79a4b8f7.png
[c0cc0f06f46a34e2708c7555b99d13ad.png]: https://img-blog.csdnimg.cn/img_convert/c0cc0f06f46a34e2708c7555b99d13ad.png