记一次edusrc挖掘

0x01 信息收集

首先我谷歌语法site:edu.cn intext:学号 filetype:xls

得到学号，搜索这家学校的统一身份认证系统 site:xxx.edu.cn 统一身份认证

然后看它的账号密码组成

通过爆破得到密码，直接登录。

目前收获：弱口令*1

众所周知，一般后台的逻辑漏洞多，那么咱们直接启动BP

0x02 挖掘逻辑漏洞

启动bp，进入后台，点击管理系统

可见，普通用户点击后直接跳到其他的地方。

咱们不知道具体的路径，那么直接换一个资产进行渗透。

这里功能比较多，出洞概率相对较大。

点开一个功能后，直接报错了

当前收获 弱口令*1 逻辑漏洞*1

在信息收集过程中，我找到了它的一份用户指南，并发现它还有一个站点(不是edu.cn)。

进入站点，我发现它有一处疑似sql注入

后面加’，报错。

UNION SELECT NULL,NULL,CONCAT_WS(0x203a20,USER(),DATABASE(),VERSION(),md5(999999999)),NULL,NULL,NULL,NULL,NULL--%20aa

尝试以上字符拼接到URL之后，回显以下内容

当前收获：弱口令*1 逻辑错误*1 SQL注入*1

尝试通过信息登录数据库并得到更多数据

这里它套了cdn，但它有个用网易邮箱的邮件系统，可以溯源它。

连接成功，只看到news和photos两个表

这里实在日不下去了，直接提交漏洞了

原文始发于微信公众号（隼目安全）：【相关分享】记一次edusrc挖掘