edusrc系列（九）：证书站的挖掘

0x00 前言

以下漏洞均已经上报edusrc平台，并且已经修复。请勿利用文章内的相关技术从事非法测试。若因此产生一切后果与本公众号及本人无关。

0x01 描述

无聊水群过程中，看见有新的证书上线了。二话不说打开burp开始学习。web端相对而言比较难挖，所以直接从小程序开始测试，主要是太菜了。只能捡捡漏。有想搞搞证书的师傅，可以尝试从其他端开始入手，app或者小程序。

0x02 正题

存在漏洞有：

1.通过jeecg-boot历史漏洞获取账号密码

2.存储型xss

3.任意文件上传：

4.存在 FreeMarker 模板引擎注入

5.越权查看其他用户个人信息，这里也是遍历了大量的用户信息。

6.未授权查看用户信息

待我一一分析。爽文开始。

首先小程序抓包之类的。东西网上有很多文章描述这里就不再赘述。

开局就是这样的登录证明过程。挖其他没有带学校域名的东西。最好还是证明一下。

漏洞1：通过jeecg-boot历史漏洞获取账号密码

首先我们随便点点，当然了这里开启burp。然后感觉点的差不多了。就去查看一下历史包里面的数据。慢慢分析。这里纯个人习惯，根据自己的习惯测试。事半功倍

在查看分析数据包的过程中，发现jeecg-boot感觉很眼熟。但是一下子回忆不起来了。随着测试的继续。越感觉这个点好像，不对这个词好熟悉。于是搜索一下这个是什么系统或者是什么框架。一搜就发现jeecg-boot打完关键词。后面就出现漏洞什么什么的字眼。这灵感不一下子来了。

url:http://xxx/jeecg-boot/sys/dict/queryTableData?table=%60sys_user%60&pageSize=20&pageNo=1&text=username&code=password

一下子账号密码就来了。尝试解密发现。解不开，就暂时放弃这个点。

漏洞2：存储型xss

拼接上传的路径直接弹窗了。为什么这里getshell呢。因为尝试过了。没成功，总归还是菜了。

漏洞3：任意文件上传：

无果虽然有上传权限，但是没用访问权限。这里虽然搞到了token但是不知道怎么用上。无奈只能先放弃。尝试其他功能点。

漏洞4:存在 FreeMarker 模板引擎注入

经过其他payload测试。这里是无回显的了。只能通过打dnslog之类的来验证。因为没截图就搭配这个看看把。

漏洞5：越权查看其他用户个人信息，这里也是遍历了大量的用户信息

嗯？？通过id来获取用户信息？？那么别怪我暴力了。直接爆破一下这个id。

根据回显的大小不同来看

漏洞6：未授权查看用户信息

既然我登录进去能看到信息，尝试未授权试试。拼接路径然后爆破。因为懒得打太多码，就截一部分了。

原文始发于微信公众号（小呆安全）：edusrc系列（九）：证书站的挖掘