测试时间:2015年7月21日
首先,自我介绍一下,我是ss,属于合肥学院,信息安全小组的一名成员。
这次测试真的是无意的,,,仅仅是因为在等待下载东西的时候,随便看看安排表。结果发现了该站点的漏洞。
下面直接开始。
为什么会搞这个站点?因为新闻动态里面有通知,我们学校安排我去参加培训,我需要看时间安排。
然后呢?后台管理,,,居然有人把它直接放到了首页,,,(ps:我反正是醉了,明显是给黑客们方便)进入后台登陆页面看看。
这就是后台登陆页面,看这个样子应该是自己写的一个web。因为前几天,刚刚发现安徽省的一个集群的万能密码0day。。。所以由于习惯,直接万能密码测试。
可以看到,我们直接就进来了。然后转了转,发现有好多信息。
在报名表里面可以获得报名学校老师的信息,,,如果进行社工,那是相当容易。省内高校的老师信息就这么容易被人拿到了。哎,,,继续!
然后在“文章列表”里面看一下,我故意翻到第十页,找了一篇文章去编辑。
可以发现,有俩个上传点。
经过测试,第一个上传点,通过解析漏洞,可以绕过验证上传木马成功。第二个上传点,没有验证,直接上传木马就可以。上传成功以后,我们用木马进行登录。
登录成功,不过该服务器,权限管理的貌似很好,只有F盘和H盘有权限访问。
在H盘里面,有万恶的360!!!!
看到没?这些不是我上传的,,,是在今年4月份,已经有人进来过了。
扫描了一下端口,3389没开。还好。我想着提权来试试的,后来想还是算了吧。毕竟是省内的、而且是我们计算机的教育研究会。就算提权成功也得告知老师。
这里其实能够看到,这台服务器上面肯定不仅仅只有一个web站点。
工大的胡东辉老师,好像之前在网安培训的时候说了一句,各位大牛不要黑这个站点啊。
ansa.ahjsjjy.com
都是ahjsjjy的名字,,,估计也是同一台服务器。因为时间有限。测试只能进行到这里。暑假还有认知实习,,,哎。我还是去写代码吧。
还请老师通知有关人员,进行该web站点维护。