HackAPT-打造中国最专业的黑客入侵技术 - 承接一切黑客渗透测试业务

正方教务管理系统最新漏洞利用实例演示

HackAPT - 打造中国最专业的黑客入侵技术长期承接国内外网站入侵,网络渗透,外挂开发,成绩修改等相关黑客业务. 本团队拥有多位资深老牌黑客,技术实力雄厚有着长期的职业黑客经验并且长期持有CEH,CCIE黑客认证,且长期活跃于Hackone排行榜并帮助过Facebook, Microsoft, Uber, Yahoo日本发现过重大漏洞. 我们的承诺和信心来自于多年入侵经验的成功案例,我们用实力来得到您的认可客服QQ:10172680 邮箱[email protected]

本站所有内容均属于本站原创,大部分实战案例有录制视频实战,请联系客户QQ免费索取!请尊重版权转载请附上本站链接.

本次漏洞发生在正方教务系统当中的某个接口页面存在oracle盲注,可以获得当前用户数据库,dump教师用户表,分析密文加密特征(前人研究成果+基友助攻),破译加密的密码。前台管理员登陆,后台文件上传基于黑名单原理,过滤u完全,上传特定文件,生成一句话。菜刀连接,大马提权。

百度搜索:“欢迎使用正方教务管理系统!请登录” 可获得几十页的词条。足见其通用。
存在注入点的页面为http://域名(ip)/xsxjxtdl.aspx
随便找个例子,做演示。该漏洞全网通通杀哦.

通过burp suite拦截,然后sqlmap加载进行post注入。


确定存在注入,为oracle的时间盲注(复现时可能比较纠结,时间可以加大一点,一次跑不出,可以跑2次),一般人可能到此就放弃了,但是像我们比较笨的人,只有更努力一点了。不幸中的万幸,前辈们开拓的很深入(致敬),正方的数据库结构已经很明了了。用户密码加密方式,乌云知识库也有讨论。
ps:①数据库结构: WooYun: 69个高校正方教务管理系统数据库任意操作 (向2位师兄致敬)
②加密方式:http://drops.wooyun.org/tips/847
WooYun: 方正教务系统sql注射
一般可以用--sql-shell进行快速提取(oracle权限分配比较死,权限比较低)。切正方如果默认数据库名改变,跑不出表的。
select YHM,KL from "YHB" where YHM like 'jw%';
权限高的可以,直接dump了。
-D ZFXFZB -T YHB -C “yhm,kl” --start 1 --start 50

接下来,又是一个很苦逼的活。知道账号,密码很难解出来,只有试探弱密码,好在很多老师账号密码一致。这里要感谢基友彗星的全力助攻。根据乌云知识库的原理,写出了软件。

基友说,凭借小学英语和运气的组合,终于搞出了key。
然后,然后...发现乌云已经有人爆出了key。
依稀记得当时的感觉,就像千万只小学生中从心中奔腾而过。:(
好,接下来。进管理后台,拿webshell。后台过滤的还是蛮严格的。
asp.aspx.asa.1.asp;.jpg等等...均失败
然后灵光一闪,以前貌似看过ashx可以.net中生成一句话的。
于是:

学校机器一般年老失修,,,提权简直是so easy。
然后读出,管理密码。
嗯,大家猜对了,教务管理的密码惊人的一致。减少了一些提权之繁琐。
上传图片太痛苦了,so卡,就不上图了(不知是乌云的问题还是我的网速问题)。
罗里吧嗦的说了这么多,其实就是锲而不舍,才能达到最后,也没什么特别的。

本文系作者个人观点,转载请注明出处!
喜欢 0

相关文章

更多

本站已经正式停止QQ联系方式,如有任何正在合作的客户或有意合作的客户可以通过  [email protected] 跟我们联系!

邮件24小时在线,通常1-2小时会回复!

error: