全国高校某数字化校园统一认证平台一键获取管理员权限

### 简要描述： 数字化校园统一认证平台，进入之后，可以管理高校所以其他任意系统，如OA办公系统，图书馆系统，教务系统，多媒体平台等。一个权限认证绕过，可导致整个内网数据沦陷。 ### 详细说明： 前言：此漏洞属猜解绕过，无技术含量，但影响大。 因为通用型，我们这里找了一个示例站点来作范例， 四川航天职业技术学院 http://220.167.53.63:8023/zfca/ 这个链接官网主页上面有，所以容易找到。 下面看图示： [<img src="https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png" alt="01.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png) 我们这里直接常用思路，找回密码试试 [<img src="https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png" alt="02.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png) 这里没有密保手机和邮箱，只有试尝试密保问题找回咯，填入admin吧！ [<img src="https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png" alt="03.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png) 看到这里，密保问题居然是学号，大家想到了什么？我们可以用数字弱口令试试，当然是学号，那么大多数肯定是数字，我们用数字字典可以爆破！ 不过很巧，我直接手动输入1吧，看看结果。 [<img src="https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png" alt="04.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png) 看到没，密码已经被重置为6位随机数字了。。。 说明密保回答1，是正确的。 然后我们再用管理员登陆，看看这个权限是有多大。 [<img src="https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png" alt="05.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png) 登陆后，我们看到了这么左下方可以管理这么多系统。 好吧，我们尝试下到底能不能进入这些系统。先从最感兴趣的OA系统试下。 [<img src="https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png" alt="06.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png) [<img src="https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png" alt="07.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png) 这东西直接获得OA系统的管理权限，而且权限之大，上图所示。 我们再看看能否进入其他平台，我们用 网络教学平台系统 试试 [<img src="https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png" alt="08.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png) 好吧。也是系统权限。。 如此多的第三方系统，拿SHELL和服务器难吗？。。。 这个网站就不深入了，数据没动，请管理员修改密码及时修复。 另外为了证明此漏洞的通用性，本人从百度上找了几个典型大学网站，并利用此漏洞截图。 华中师范大学 [<img src="https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg" alt="华中师范大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg) 长江职业学院 [<img src="https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg" alt="长江职业学院.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg) 重庆师范大学 [<img src="https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg" alt="重庆师范大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg) 山西农业大学 [<img src="https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg" alt="山西农业大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg) 景德镇陶瓷学院 [<img src="https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png" alt="20.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png) ### 漏洞证明： 前言：此漏洞属猜解绕过，无技术含量，但影响大。 因为通用型，我们这里找了一个示例站点来作范例， 四川航天职业技术学院 http://220.167.53.63:8023/zfca/ 这个链接官网主页上面有，所以容易找到。 下面看图示： [<img src="https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png" alt="01.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06152556ac0c1d0f819856041239fccb4e54eb22.png) 我们这里直接常用思路，找回密码试试 [<img src="https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png" alt="02.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615263587a71b079361a71fd3c45294c4641b6a.png) 这里没有密保手机和邮箱，只有试尝试密保问题找回咯，填入admin吧！ [<img src="https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png" alt="03.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06152802bade1397c87f5d2aef21d3c10135003d.png) 看到这里，密保问题居然是学号，大家想到了什么？我们可以用数字弱口令试试，当然是学号，那么大多数肯定是数字，我们用数字字典可以爆破！ 不过很巧，我直接手动输入1吧，看看结果。 [<img src="https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png" alt="04.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061530223e58f6621ebfe48fe0aa6963a23c6097.png) 看到没，密码已经被重置为6位随机数字了。。。 说明密保回答1，是正确的。 然后我们再用管理员登陆，看看这个权限是有多大。 [<img src="https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png" alt="05.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615345490ad3c09304e82cef4a465d150371d1e.png) 登陆后，我们看到了这么左下方可以管理这么多系统。 好吧，我们尝试下到底能不能进入这些系统。先从最感兴趣的OA系统试下。 [<img src="https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png" alt="06.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061538577c2ab68b31d028b2201a5cfdaed6b955.png) [<img src="https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png" alt="07.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06153910d24bbb758d6f4b2217255bc568b8877e.png) 这东西直接获得OA系统的管理权限，而且权限之大，上图所示。 我们再看看能否进入其他平台，我们用 网络教学平台系统 试试 [<img src="https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png" alt="08.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/0615452345b69b7afc558f8bb0eef25977d06c39.png) 好吧。也是系统权限。。 如此多的第三方系统，拿SHELL和服务器难吗？。。。 这个网站就不深入了，数据没动，请管理员修改密码及时修复。 另外为了证明此漏洞的通用性，本人从百度上找了几个典型大学网站，并利用此漏洞截图。 华中师范大学 [<img src="https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg" alt="华中师范大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06154755bab83620bbd59f024ede68600e650382.jpg) 长江职业学院 [<img src="https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg" alt="长江职业学院.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06154827716181799c61507e7a1ba165e3aede11.jpg) 重庆师范大学 [<img src="https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg" alt="重庆师范大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061549065ecb04b09d5ea8fc861fc0c9001873db.jpg) 山西农业大学 [<img src="https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg" alt="山西农业大学.jpg" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/06155007b716f32145dd197ed40192ffc26172cd.jpg) 景德镇陶瓷学院 [<img src="https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png" alt="20.png" width="600" onerror="javascript:errimg(this);">](https://images.seebug.org/upload/201411/061556206fc6603faaad1b9921f8813c3740a0e5.png)