本文由掌控安全学院 - 1708qq_com 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（https://bbs.zkaq.cn）
又一个风和日丽的下午（doge），找到一个感觉有洞的登录框，因为可以注册一个用户
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
二话不说，直接注册一手
利用注册的用户，成功登录
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
访问登录界面
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
测试了一些基本的修改信息，尝试越权查看信息都没有，于是退而求其次，看看登录框处有什么可以测试的
验证码可爆破，重置任意用户密码
点击忘记密码
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
输入对应的账号名
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
六位数，15分钟有效
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
img
可以尝试爆破，如不会被waf拦住的话
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
可以爆破成功，通过爆破六位验证码，可以重置验证码 通过注册的功能点，可以知道哪些用户是已经注册的了
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
这样可以根据用户名，重置任意密码 但是因为是六位，即使提交了，可能也就是低位，所以还不行。
逻辑漏洞+弱口令
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
有几个参数需要注意 loginName，realname，userRoleCode是否可以通过修改这些参数，调用一些接口返回一些敏感信息呢？大胆猜测，小心尝试
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
然后一直放包 可以看到只有这个地方是改变的，其他地方没有改变 点击“我的评论”
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
可以看到一些评论，相比之前之前注册的账号是没有的，说明评论这处的接口调用是根据这里来的
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
抓取数据包，可以看到评论者的一些信息（家庭住址，登录ip等）
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
继续往下看的时候，发现泄露类似这个学校的教师工号 通过历史数据包中找到，这个用户名的查询接口，发现返回的信息确实是这个学校的
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
得到工号有什么利用的地方呢？如果只是泄露了这些信息也算不了有多敏感，当然不能到这里就停手了。以退为进，还是退到登录框那里，因为一般系统给老师的账号都是一些比较容易记忆的密码，如：
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
继续延续上面的猜想，可以横向扩大一些危害，遍历教师工号，看看能不能找到一些高权限一点的教师账户
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
在多次登录的过程中，找到了一个算是比较高权限一点的账户，可以管理这个网站的大部分课程内容
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
云盘未授权
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
切换到一个新的浏览器 http://api.xxx.xxx.edu.cn/api/yunfileController/indexNew?pan= xxxxx
发现也能打开！存在未授权访问云盘，pan参数后面的参数也是可以猜测的 是base64拼接_yunpan_session+url编码的 比如这样 http://api.xxxx.xxx.edu.cn/api/yunfileController/indexNew?pan=MTIzNDU2X3l1bnBhbl9zZXNzaW9u
MTIzNDU2X3l1bnBhbl9zZXNzaW9u
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
所以我们通过这个接口，只要知道工号就可以接管对应教师的云盘账户了（不会鉴权）
总结：
看系统的时候，有时候一个工号都会是一个极大的突破点，这个站点我也看很久了，之前一直都没有注意到这个工号，所以细节决定成败，不过所谓细节也得是自己能力能注意到，才能利用得上。
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
![较为丝滑的一次证书站漏洞打包]( "较为丝滑的一次证书站漏洞打包")
原文始发于微信公众号（掌控安全EDU）：较为丝滑的一次证书站漏洞打包
评论