免责声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。
上次更新之后说要做到周更，原本这次是想更新一次通杀思路的，但确实漏洞都还没有审核完成或者修复。不过今天可以先写一个小漏洞，给大家提供一下思路，后面尽量争取这个月能把完整思路给大家分享一下，文章也会比较短。
依旧是信息收集，在对目标院校进行信息收集，收集学号、工号的时候发现该学校的公示信息里面，对该校学生、老师信息进行了公示，其中还包含了打码的身份证号。
但这里就有一个有意思的事情，身份证号打码部分是为7-14位，该部分正好是出生年月日部分，但公示文件后面竟然又标明了出生年月，也就是说现在只有出生日不清楚。
此时我便想起前面在对资产做信息收集的时候有一个管理系统存在查询接口，可以使用 “姓名” 和 “身份证号” 进行查询来获取学号或者工号。
当姓名和身份证号错误或不存在时，会提示 “系统中不存在当前用户，请核实填写的信息是否正确”。
而当姓名和身份证号正确匹配时，则会回显出学生或教师的基本信息。
这下思路一下就清晰了，基本信息有了，功能点也有了。前面已经说到因为管理者对公示文件的疏忽，公示信息中只有身份证号码中出生日部分我们不清楚，而这出生日部分最多也仅有31个（一个月最多也就31天），如果查询接口可以进行爆破，完全可以利用查询接口爆破出生日部分，补全身份证号码。
抓包查看查询请求包，发现身份证号参数为 “IdNo” ，而且是明文传输的，那这就更好爆破了。
POST /XXXXX/GetUserInforXXXXXService HTTP/1.1Host: xxxx.xxx.edu.cnUser-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:138.0) Gecko/20100101 Firefox/138.0Accept: application/json, text/javascript, */*; q=0.01Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: application/x-www-form-urlencoded; charset=UTF-8X-Requested-With: XMLHttpRequestContent-Length: 248Connection: closeTName=%E5%BC%A0%E4%B8%89&IdNo=370111111111111111
爆破后可以看到成功查询的响应包要长一些，利用此接口获取了大量身份证号码信息。
三、弱口令登录系统
依旧是通过信息收集，发现了统一门户等多个系统默认密码都是身份证号后六位，而账号就是学/工号，后面就是尝试利用获取的信息进行登录，成功登录了多个系统，其中某管理系统中大量弱口令未修改，且基本信息中包含证件号码，也就是身份证号。
后面在尝试过程中更是发现了一个教师的统一门户弱口令，在登录门户后获取了多个系统登录以及管理权限，并成功利用VPN进入了内网。
目前该思路应该是还没有被大量利用挖掘漏洞的，我自己是已经拿这个思路挖掘多个院校敏感信息泄露。后面等漏洞审核和修复完成后，我再继续更新一篇文章进一步分析并分享出来。
原文始发于微信公众号（网安日记本）：漏洞挖掘—利用查询功能获取敏感信息
评论