WooYun.org

0x1 注入
以其中最大的江苏教育信息化公共服务平台为例来演示一下
存在于活动中心http://event.jse.edu.cn/的搜索处（活动中心均已event为子域名，如http://event.jsve.edu.cn/）
搜索处存在SQL注入，http://event.jse.edu.cn/api/searchPlatformActicvity，POST数据：keyWord=1&activityType=-1&organizationCode=&orderBy=ByHot&currentPage=1&tagId=

还是root权限

0x2 任意文件上传
存在于资源中心http://be.jse.edu.cn/channels/1647/default.htm
资源中心可以进行注册，注册后登陆http://contents.jse.edu.cn/my

我的资源中可以上传资源，选择上传素材

这个页面是关键，可以看到有三种方式，制作方式：在线编辑 文件上传 外部链接
这三种方式都没有问题，但其实还隐藏着第四种方式，我们来看下这个页面的源码

有01，02，04，怎么会没有03呢，再往下看页面代码

发现确实存在03的模块，只是被隐藏了起来，firebug手动将其他隐藏，将03显示出来看一下

03显示出来是zip上传，如下

下面就容易了，构造一个zip包，包含两个文件，一个x.aspx的一句话，一个index.html内容随意，通过该处上传

上传后，可以看到刚刚上传的文件的下载路径http://58.213.155.174:81/File/FileDownload?filePath=9999999999/File/2014-05-30/20ba306e-771a-4941-9bfd-46676c39f48c/e6529448-5701-4644-8efe-44efd1bfbf38.zip&contentType=application/octet-stream&name=桌面.zip

这个还不是shell的路径，截取参数filepath的部分值，即9999999999/File/2014-05-30/20ba306e-771a-4941-9bfd-46676c39f48c/
前面加上http://58.213.155.174:81/HTMLFile/,（上面得到的地址下的HTMLFile文件夹下），后面加上我们放的x.aspx
得到最终shell的地址http://58.213.155.174:81/HTMLFile/9999999999/File/2014-05-30/20ba306e-771a-4941-9bfd-46676c39f48c/x.aspx

PS：测试中其他一些平台也存在连03模块都没有隐藏的情况
PPS：shell已删