全国高校某数字化校园统一认证平台一键获取管理员权限

2014-11-06T00:00:00
ID SSV:96178
Type seebug
Reporter Root
Modified 2014-11-06T00:00:00

Description

简要描述:

数字化校园统一认证平台,进入之后,可以管理高校所以其他任意系统,如OA办公系统,图书馆系统,教务系统,多媒体平台等。一个权限认证绕过,可导致整个内网数据沦陷。

详细说明:

前言:此漏洞属猜解绕过,无技术含量,但影响大。 因为通用型,我们这里找了一个示例站点来作范例, 四川航天职业技术学院 http://220.167.53.63:8023/zfca/ 这个链接官网主页上面有,所以容易找到。 下面看图示:

<img src="https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png" alt="01.png" width="600" onerror="javascript:errimg(this);">

我们这里直接常用思路,找回密码试试

<img src="https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png" alt="02.png" width="600" onerror="javascript:errimg(this);">

这里没有密保手机和邮箱,只有试尝试密保问题找回咯,填入admin吧!

<img src="https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png" alt="03.png" width="600" onerror="javascript:errimg(this);">

看到这里,密保问题居然是学号,大家想到了什么?我们可以用数字弱口令试试,当然是学号,那么大多数肯定是数字,我们用数字字典可以爆破! 不过很巧,我直接手动输入1吧,看看结果。

<img src="https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png" alt="04.png" width="600" onerror="javascript:errimg(this);">

看到没,密码已经被重置为6位随机数字了。。。 说明密保回答1,是正确的。 然后我们再用管理员登陆,看看这个权限是有多大。

<img src="https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png" alt="05.png" width="600" onerror="javascript:errimg(this);">

登陆后,我们看到了这么左下方可以管理这么多系统。 好吧,我们尝试下到底能不能进入这些系统。先从最感兴趣的OA系统试下。

<img src="https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png" alt="06.png" width="600" onerror="javascript:errimg(this);">

<img src="https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png" alt="07.png" width="600" onerror="javascript:errimg(this);">

这东西直接获得OA系统的管理权限,而且权限之大,上图所示。 我们再看看能否进入其他平台,我们用 网络教学平台系统 试试

<img src="https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png" alt="08.png" width="600" onerror="javascript:errimg(this);">

好吧。也是系统权限。。 如此多的第三方系统,拿SHELL和服务器难吗?。。。 这个网站就不深入了,数据没动,请管理员修改密码及时修复。 另外为了证明此漏洞的通用性,本人从百度上找了几个典型大学网站,并利用此漏洞截图。 华中师范大学

<img src="https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg" alt="华中师范大学.jpg" width="600" onerror="javascript:errimg(this);">

长江职业学院

<img src="https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg" alt="长江职业学院.jpg" width="600" onerror="javascript:errimg(this);">

重庆师范大学

<img src="https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg" alt="重庆师范大学.jpg" width="600" onerror="javascript:errimg(this);">

山西农业大学

<img src="https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg" alt="山西农业大学.jpg" width="600" onerror="javascript:errimg(this);">

景德镇陶瓷学院

<img src="https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png" alt="20.png" width="600" onerror="javascript:errimg(this);">

漏洞证明:

前言:此漏洞属猜解绕过,无技术含量,但影响大。 因为通用型,我们这里找了一个示例站点来作范例, 四川航天职业技术学院 http://220.167.53.63:8023/zfca/ 这个链接官网主页上面有,所以容易找到。 下面看图示:

<img src="https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png" alt="01.png" width="600" onerror="javascript:errimg(this);">

我们这里直接常用思路,找回密码试试

<img src="https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png" alt="02.png" width="600" onerror="javascript:errimg(this);">

这里没有密保手机和邮箱,只有试尝试密保问题找回咯,填入admin吧!

<img src="https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png" alt="03.png" width="600" onerror="javascript:errimg(this);">

看到这里,密保问题居然是学号,大家想到了什么?我们可以用数字弱口令试试,当然是学号,那么大多数肯定是数字,我们用数字字典可以爆破! 不过很巧,我直接手动输入1吧,看看结果。

<img src="https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png" alt="04.png" width="600" onerror="javascript:errimg(this);">

看到没,密码已经被重置为6位随机数字了。。。 说明密保回答1,是正确的。 然后我们再用管理员登陆,看看这个权限是有多大。

<img src="https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png" alt="05.png" width="600" onerror="javascript:errimg(this);">

登陆后,我们看到了这么左下方可以管理这么多系统。 好吧,我们尝试下到底能不能进入这些系统。先从最感兴趣的OA系统试下。

<img src="https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png" alt="06.png" width="600" onerror="javascript:errimg(this);">

<img src="https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png" alt="07.png" width="600" onerror="javascript:errimg(this);">

这东西直接获得OA系统的管理权限,而且权限之大,上图所示。 我们再看看能否进入其他平台,我们用 网络教学平台系统 试试

<img src="https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png" alt="08.png" width="600" onerror="javascript:errimg(this);">

好吧。也是系统权限。。 如此多的第三方系统,拿SHELL和服务器难吗?。。。 这个网站就不深入了,数据没动,请管理员修改密码及时修复。 另外为了证明此漏洞的通用性,本人从百度上找了几个典型大学网站,并利用此漏洞截图。 华中师范大学

<img src="https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg" alt="华中师范大学.jpg" width="600" onerror="javascript:errimg(this);">

长江职业学院

<img src="https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg" alt="长江职业学院.jpg" width="600" onerror="javascript:errimg(this);">

重庆师范大学

<img src="https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg" alt="重庆师范大学.jpg" width="600" onerror="javascript:errimg(this);">

山西农业大学

<img src="https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg" alt="山西农业大学.jpg" width="600" onerror="javascript:errimg(this);">

景德镇陶瓷学院

<img src="https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png" alt="20.png" width="600" onerror="javascript:errimg(this);">