WooYun.org

首先我要讲一下命令执行，在白帽子xfkxfk的 WooYun: 某通用型系统存在命令执行漏洞 中有提到过，经过1年时间，我发现厂商是把远程命令执行给修复了，但仍然可以获取到网站物理路径，进而进行文件管理与上传shell的操作，所以打包一并提交,希望能够通过。
可通过百度关键字“技术支持：江苏中威科技软件系统有限公司”寻找案例
1#大量非授权访问， 导致管理密码泄漏，可新增管理用户
未授权页面包括但不限于以下（以南通市政府支持企业发展项目管理系统为例）：
http://qy.nantong.gov.cn/dic_getList.do
http://qy.nantong.gov.cn/employee_getAllEmployee.do
http://qy.nantong.gov.cn/executeLog_getExecuteLogList.do
http://qy.nantong.gov.cn/loginLog_getLoginLogList.do
http://qy.nantong.gov.cn/right_toRightMain.do
http://qy.nantong.gov.cn/right_showRoleForRight.do
http://qy.nantong.gov.cn/right_selectMenu.do
http://qy.nantong.gov.cn/role_getRoleList.do
http://qy.nantong.gov.cn/selectTree_showPopForStep.do
http://qy.nantong.gov.cn/notice_toAddJsp.do
http://qy.nantong.gov.cn/notice_getAllTongjiList.do
http://qy.nantong.gov.cn/xmsz_getList.do
http://qy.nantong.gov.cn/employee_competentLogin.do
http://qy.nantong.gov.cn/xyEmployee_toAddEmployeeJsp.do
机构人员管理页面http://qy.nantong.gov.cn/xyEmployee_queryAllEmployee.do

可通过查看源码页面看到明文密码

以下提供几个供复现：
http://qy.sqcz.gov.cn/xyEmployee_queryAllEmployee.do
http://zdxm.nantong.gov.cn/xyEmployee_queryAllEmployee.do
http://tjdata.haimen.gov.cn/xyEmployee_queryAllEmployee.do
http://qyfz.czfb.gov.cn/zfzcxmgl/xyEmployee_queryAllEmployee.do
http://58.221.147.11:8080/workfield/before/xyEmployee_queryAllEmployee.do
http://58.221.172.42:8080/hmqlyg/xyEmployee_queryAllEmployee.do
http://elqlf.haimen.gov.cn/hmqlyg/xyEmployee_queryAllEmployee.do
http://cxsh.sihong.gov.cn/shcredit/xyEmployee_queryAllEmployee.do
http://www.ntcredit.com/ntscredit//xyEmployee_queryAllEmployee.do
http://cxsy.siyang.gov.cn/syxcredit//xyEmployee_queryAllEmployee.do
http://mxzltj.nantong.gov.cn/mxzl_up//xyEmployee_queryAllEmployee.do
http://58.221.206.203:8080/rgshjz//xyEmployee_queryAllEmployee.do
http://58.221.172.27:8580/hmjxpg/xyEmployee_queryAllEmployee.do
这里举个特例
http://58.221.238.143:8085/qyxm/xyEmployee_queryAllEmployee.do
访问该页面报404

这时候我们可以先新增一个没有任何权限，只能访问的用户，有耐心的话，也可以试试注册个企业用户。http://58.221.238.143:8085/qyxm/xyEmployee_toAddEmployeeJsp.do

再通过这个用户登录系统后，再次越权访问

http://58.221.238.143:8085/qyxm/xyEmployee_queryAllEmployee.do