文章目录

（原创）市教育局web渗透—市OA系统[web渗透实例][教育局网络安全][内网安全][内网渗透][oa系统漏洞]

于 2017-1-9 由 ssnhy13 发布

本次渗透是在取得教育局网络第三方厂商即时讯立维公司授权许可之后进行的渗透测试。

漏洞报告也于第一时间交给教育局及第三方厂商，并且协助厂商进行了修补，至文章发布时，文中的漏洞已经得到修复。本文章选取了漏洞报告中的一部分进行公开，完整漏洞报告模板于社团群内部。

免责申明：请使用者注意使用环境并遵守国家相关法律法规！

本文仅供学习与交流，请勿用本文提到的技术方法进行破坏行为，由于使用不当造成的后果十三年不承担任何责任！

一.信息搜集：

我扫描了，oa.klmyedu.cn/ 218.31.39.144 pj.klmyedu.cn 218.31.39.149

从扫描结果显示了一些可远程利用的漏洞，对重点需要渗透测试的WEB主机等待扫描等信息收集工作完成后实施渗透。

扫描时得出以下端口服务信息：

http://pj.klmyedu.cn 开放的端口9090 作为OA平台老师登录口http://pj.klmyedu.cn:9090/klmy_pingjia/login.action

oa.klmyedu.cn 默认web端口是学生登录进行评价的web平台

发现教育局网络为山石网科防火墙或网络设备的远程管理服务端口，建议用户使用IP地址限制功能来进行远程管理。

继续进行端口扫描和测试，发现一些问题并做部分测试。

二.漏洞扫描

注入型漏洞，我们通过远程测试后发现 http://pj.klmyedu.cn:9090/klmy_pingjia/login.action 登陆口存在SQL注入的漏洞，我们可以通过sqlmap跑出服务器上面web数据库信息，如图：

web application technology: JSP

back-end DBMS: Microsoft SQL Server 2005

因为这个登录口是为教师登录的又临近期末了老师都需要用这个平台服务器性能貌似承载不了SQL注入

为了减少对用户应用的影响，在验证完SQL注入漏洞后，我停止了进一步的渗透测试行为。

2. Apache Tomcat examples directory vulnerabilities（示例文件）

Apache Tomcat默认安装包含”/examples”目录，里面存着众多的样例，其中session样例(/examples/servlets /servlet/SessionExample)允许用户对session进行操纵。因为session是全局通用的，所以用户可以通过操纵 session获取管理员权限。

漏洞地址 http://120.77.102.161:8080/examples/servlets/servlet/SessionExample

3.Apache Struts2 Multi-Remote Code Execution（简称st2漏洞）

在http://pj.klmyedu.cn:9090/klmy_pingjia/login.action 登陆口存在st2漏洞

可获取信息完整清晰：

网站物理路径： D:\vcm\pingjia\tomcat5\webapps\klmy_pingjia

java.home: D:\vcm\pingjia\jdk1.5.0_18\jre

java.version: 1.5.0_18

os.name: Windows 2003

os.arch: x86

os.version: 5.2

user.name: SYSTEM

user.home: C:\WINDOWS\system32\config\systemprofile

user.dir: C:\WINDOWS\system32

java.class.version: 49.0

java.class.path: D:\vcm\pingjia\tomcat5\bin\bootstrap.jar

java.library.path: D:\vcm\pingjia\tomcat5\bin;.;C:\WINDOWS\system32;C:\WINDOWS;.;C:\Program Files\Java\jdk1.5.0_04\bin;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\System32\Wbem;

hibernate信息等等省略后半部分过长。可以看到敏感信息 1.system权限 2.网站绝对路径 3.网站服务器系统信息等等包括java环境信息

通过system权限我们直接执行远程命令查看内网拓扑添加账户等等

在添加账户时发现被拦截查看进程发现有1.360主动防御 2.安全狗 3. 瑞星杀毒这多个杀毒软件和安全软件（佩服佩服能在一个服务器装这么多服务器也是够安全）

这里主要讲下这个st2漏洞利用工具这款工具好处在于有列出了服务器目录的功能当时我一开始想直接在登陆口目录传jsp木马拿shell的时候连接的时候总会跳转到登陆口 Google了下解决办法是传jspx 但是试了都不行

有了这个工具直接找到网站root根目录把shell传到根目录就不会跳转可以直接连接就拿下了

社团工具下载地址 www.klmyssn.club 此工具下载地址 www.klmyssn.club/exploit/st2.jar