某E-learning产品内置账号可操作任意用户及添加管理员/任意文件上传GetShell

上海天柏信息科技有限公司 官网：http://**.**.**.**/

成功案例：http://**.**.**.**/Customer.html

产品：天柏在线考试系统

包含众多政府/教育/企业/运营商/科技公司等等，用户量真的很大...

谷歌搜索语法：inurl:stu_user_regist.aspx

部分影响实例：

http://**.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**:38501/System/Stu_User_Regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/System/Stu_User_Regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**/jxjy-exam/system/stu_user_regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**:8000/system/stu_user_regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/ks/system/stu_user_regist.aspx
 http://**.**.**.**:86/system/stu_user_regist.aspx
 http://**.**.**.**:8002/system/stu_user_regist.aspx
 http://**.**.**.**/System/Stu_User_Regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 http://**.**.**.**/System/Stu_User_Regist.aspx
 http://**.**.**.**/system/stu_user_regist.aspx
 **.**.**.**:91/Exam/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**:9898/system/stu_user_regist.aspx
 **.**.**.**:886/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**:8012/PXSystem/Stu_User_Regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**:8003/PXSystem/Stu_User_Regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**:801/System/Stu_User_Regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 **.**.**.**/system/stu_user_regist.aspx
 ....等等

从官方demo http://**.**.**.**/login.aspx

测试账号：master/123456

master该帐号是系统体验员的帐号，拥有可操作修改任意用户的权限

通过抓包，获取到该请求：http://**.**.**.**/system/Stu_User_Manage.aspx?action=view&InfoPager=1&infoid=4917

访问该页面通过修改infoid参数可实现越权查看任意用户,修改用户密码,赋予系统管理员权限

赋予管理员权限之后，在后台上传LOGO文件处可任意上传文件直接GetShell

最要命的是经过我后续对其他通用案例的测试，该一系列操作直接注册一个普通用户即可完成

（该在线考试系统99.99%都是提供注册功能的可以直接注册，不信可以自己看看）

接下来是实例演示：

http://**.**.**.**/login.aspx 贵州自考网

我自己注册的帐号: admin2/admin2

登录后访问http://**.**.**.**/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=88

以修改1024966595该帐号密码，以及帮他赋予系统管理员权限为例

1024966595：123456 重新登录下

系统管理-系统设置-前台Logo或者后台Logo上传文件处可以直接上传ASP一句话

保存后查看，返回了路径，然后拼接地址...

http://**.**.**.**/UpLoad/System/20140903121440948242.asp 密码：pass

再证明1个： http://**.**.**.**:38501/login.aspx

我自己注册的帐号: admin2/admin2

登录后访问：http://**.**.**.**:38501/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=88

（顺带一提，这个访问不存在的id页面会报错，但是没关系，可以使用burpsuite爆破，访问存在的id）

用户liuhuaxing密码仍被修改为123456，赋予管理员权限..

然后如上上传ASP一句话， http://**.**.**.**:38501/UpLoad/System/2014090312264026562.asp 密码：pass

整理一下

默认登录页面：/login.aspx

默认注册页面：/system/stu_user_regist.aspx

越权页面：/system/Stu_User_Manage.aspx?action=edit&InfoPager=1&infoid=（XXX）

后台上传处：系统设置-前台Logo或者后台Logo上传处

厂商回应：

危害等级：高

漏洞Rank：16

确认时间：2014-09-08 09:38

厂商回复：

最新状态：

暂无

1. 2014-09-03 18:48 | 魇 ( 普通白帽子 | Rank:1218 漏洞数:107 | 传闻中魇是一个惊世奇男子， 但是除了他华...)

   1

   还没确认当天就发奖金了..确实可怕

   1# 回复此人

2. 2014-09-03 19:58 | 贫道来自河北 ( 普通白帽子 | Rank:1469 漏洞数:439 | 一个立志要把乌云集市变成零食店的男人)

   0

   @魇 500吗

   2# 回复此人

3. 2014-09-03 19:59 | 魇 ( 普通白帽子 | Rank:1218 漏洞数:107 | 传闻中魇是一个惊世奇男子， 但是除了他华...)

   0

   @贫道来自河北 嗯 这个是

   3# 回复此人

4. 2014-09-03 20:00 | 贫道来自河北 ( 普通白帽子 | Rank:1469 漏洞数:439 | 一个立志要把乌云集市变成零食店的男人)

   0

   @魇 哎 你牛逼了，哎，今天收到3个200

   4# 回复此人

5. 2015-06-13 10:14 | saviour ( 普通白帽子 | Rank:188 漏洞数:29 | Saviour.Com.Cn 网站正在备案中)

   0

   这个我提交过360 没审核

   5# 回复此人