三小时拿下东南大学教务处网站

 

在学校四年，我都没敢碰这个站，虽然这之间无数的人进来转过圈...毕业都一年了，再也没什么敢不敢的了...晚上正好没站玩，就找这个站练练手...

上次跟就业办老师聊天，他说教务处有老师说就业办这个系统安全性差，相比之下教务处就强多了，我听着有点郁闷...但据我所知，教务处网站好像经常被挂马...不管，今天正好有空，试试看...安全性究竟有多强，至少渗透别人的站比渗透自己的站有意思...

我QQ跟flyh4t说了下，我要检测教务处站了，他告诉我他去年跟东南大学网络安全联盟的兄弟们已经一起做过检测教务处网站的SRTP项目了，而且拿的是校优秀。寒...我被当头一击...算了，我试试吧...于是开始了艰辛的渗透。

先打开网站尝试了下，不管有无注入点，只要一出错，都是变成HTTP 500 - 内部服务器错误，如果没有去除IE的显示友好错误，那还正常，关键是显示友好错误已经去掉了，所以我怀疑是网安的兄弟或者管理员设置了这么一个错误页面。不过这导致我根本没有办法通过注入获得webshell，另辟他径吧...

打开百度，搜索框输入：asp site:jwc.seu.edu.cn，查找首页所看不见的asp页面，于是我一个一个的往后翻，这一翻不要紧ÿ