某院校由外渗透到内网漫游

CVES实验室

      “CVES实验室”(www.cves.io)由团队旗下SRC组与渗透组合并而成，专注于漏洞挖掘、渗透测试与情报分析等方向。近年来我们报送漏洞总数已达八万余个，其中包含多个部级单位、多个通信运营商、Apache、Nginx、Thinkphp等，获得CNVD证书、CVE编号数百个，在不同规模的攻防演练活动中获奖无数，协助有关部门破获多起省督级别的案件。

入口点1

通过信息收集得到的可用于登录校园系统的账户信息：

登录进来以后每个子平台的功能点都可以测一测，这里选择一个财务子系统进行挖掘：

点击后跳转至如下图所示系统界面：

SQL注入

点击网上报账系统：

一眼丁真，这ui风格看起来就有一堆洞，点击新业务填报：

随便输入报销人这个数字然后抓包，发包看一下response：

直接使用sqlmap跑post包：

到此可以稍微注出点数据来对其他系统进行“密码复用”攻击（有风险），当然也可以继续挖其他口子，搞点员工信息跳到管理员层面的系统继续挖。

入口点2

预借票据系统：

点击新增申请->预开发票：

负责人人事编号换成00000001即会抓到如下接口：

此接口可以查询到姓名、手机号、身份证、银行账号、公积金账号等信息，并且是可以直接遍历所有学生、员工信息的。

直捣黄龙

通过入口2的洞拿到的员工信息登录vpn：

找到一个运维资产信息，登录后发现有上传点：

冰蝎：

获取mysqlROOT权限：

连接：

下边所有资产都是通过fscan扫到的：

CVE_2020_2551：

ssh弱口令：

mssql和mysql等弱口令（只贴一个图）：

总结

通过预借票据系统信息泄漏漏洞获得姓名、手机号、身份证、银行账号、公积金账号等信息->登录VPN->成功突破互联网区->获取各种管理员权限->getshell获取system最高权限->获取其他系统权限。

招新事宜

基本要求：

1. 年满18周岁。

2. 踏实肯学，执行力强。

3. 熟悉漏洞复现(1day)思路、熟悉红队作战流程、具备单兵作战能力。

加分项：(满足任意1条即可)

1. 挖过补天专属项目高危漏洞。

2. 知名企业SRC月榜top5。

3. 有高质量CVE编号。

4. Java，Go，Rust，Node.js，PHP等熟悉任意两种及以上代码审计。

联系方式：[email protected]

原文始发于微信公众号（Arr3stY0u）：某院校由外渗透到内网漫游