漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-068317
漏洞标题：家校通数字校园平台 可越权导出/删除任意学校学生教师数据
相关厂商：家校通
漏洞作者： Logining
提交时间：2014-07-15 11:37
修复时间：2014-08-29 11:38
公开时间：2014-08-29 11:38
漏洞类型：网络设计缺陷/逻辑错误
危害等级：高
自评Rank：18
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-15： 细节已通知厂商并且等待厂商处理中
2014-07-20： 厂商已经确认，细节仅向厂商公开
2014-07-30： 细节向核心白帽子及相关领域专家公开
2014-08-09： 细节向普通白帽子公开
2014-08-19： 细节向实习白帽子公开
2014-08-29： 细节向公众公开
简要描述：
看到,PythonPig大神在http://www.wooyun.org/bugs/wooyun-2014-062433，发的“家校通数字校园平台SQL注入（大量用户敏感信息/免费为各学校充值）”随便看看发现不仅仅只是一个对外的注入问题，还存在内部权限越权问题，涉及180000多名学生姓名及家长联系电话（如果被利用来诈骗就玩大了），“校长”账号之间可以随意越权操作其他学校的同样等级的权限。
详细说明：
首先，由于PythonPig大神的打码技术太人性化了，看到了这个账号：
恩，登陆 http://www.eee.cn/manager.do
进去发现估计是一个学校的教务处的账号
哈尔滨第十四中学
/backIndexx.do 看到可导出数据，习惯的看看源码
17BB9BB3-4B78-45F3-B129-88D5C1BCAF11，也就是代表哈尔滨第十四中学
漏洞证明：
那么如何越权呢？
在这：
http://www.eee.cn/backgroundAdmin/auditSchoolmaster_1.jsp?schoolid=17BB9BB3-4B78-45F3-B129-88D5C1BCAF11&name=
管理校长会员，这应该是建立校长权限的前台会员功能。
![)%QRLI900CK)D]Q`CPNMP3M.jpg](http://wimg.zone.ci/upload/201407/13045456642a4ff40353d817cb235d49968a04c1.jpg)
前面的e 号即是前台的登陆账号，点击查看密码就可得到密码，你觉得我需要复制一次账号密码登陆一次吗？完全不用，在后面的点击“进入校长会员”一键登陆前台。
越权十分简单，首先去http://www.eee.cn/SP_schoolPageSearch.do
这个贴心的搜索功能，就能达到导出指定学校学生数据的方法
我点击搜索了深圳的
![IPV2VZG`M2Z5]}D3CY3LBZQ.jpg](http://wimg.zone.ci/upload/201407/13050736c383b120cdf135dea4ccd8f0292657a6.jpg)
深圳只有两家使用了家校通的幼儿园
点击进入“松岗镇华盛幼儿园”http://www.eee.cn/school.do?id=902
点击一下“首页”然后网址栏变了
没错，AFB6B399-4813-4F6A-A19A-0C5A61891023就是代表松岗镇华盛幼儿园
我们现在再回到http://www.eee.cn/backgroundAdmin/auditSchoolmaster_1.jsp?schoolid=17BB9BB3-4B78-45F3-B129-88D5C1BCAF11 这个页面：
将17BB9BB3-4B78-45F3-B129-88D5C1BCAF11替换成AFB6B399-4813-4F6A-A19A-0C5A61891023访问试试
http://www.eee.cn/backgroundAdmin/auditSchoolmaster_1.jsp?schoolid=AFB6B399-4813-4F6A-A19A-0C5A61891023
出现：
成功了，点击其中一个进入校长会员，成功进入松岗镇华盛幼儿园的校长前台管理页面，
就这样可以在任意的学校越权操作，在学籍管理中有贴心的一键导出功能~~
按这规律写个程序不用一个小时就能将全部数据跑出来了
有时候也要防防家贼哦~如果这些学生的信息和家长电话被利用来诈骗，后果……
修复方案：
你们比我更懂^_^
版权声明：转载请注明来源 Logining@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：14
确认时间：2014-07-20 08:15
厂商回复：
最新状态：
暂无