edusrc：记一次学生个人信息泄露导致全校学生信息泄露 - FreeBuf网络安全行业门户

安宇雨 - 随手采集
2023-05-31 16:20:54
随手采集
0000-未整理-等待研究

前言：*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担

0x00 漏洞成因

事情的起因是这样的，在某一天我用谷歌做信息收集的时候：inurl:xxx.edu.cn pdf，突然查找到这样一份pdf文件，看完整个人都笑出了花，有位同学转专业，被学校调剂错了，然后被公示出来，学号和sfz都泄露了。

1676603704_63eef138716209ad20cbc.png!small?1676603706274

接着我就好心的找了一下他们学校的统一登陆的地方，发现初始登陆的密码是sfz的后六位。

1676603997_63eef25de75eb08577b47.png!small?1676603999423

直接登陆成功了，真是我的好兄弟啊。

1676603903_63eef1ff16c11cfd2a020.png!small?1676603904911

0x01 漏洞发现

进入之后发现，只有日常事务这一个模块能登陆进去，先进去看看的。

1676604162_63eef3021209c079a6023.png!small?1676604163851

进入之后测了很多地方，sql注入，文件上传之类的漏洞是统统没有啊，还有很多应用居然没有权限，但是她提醒我没有权限这一点，让我想到，会不会有未授权，但是抓包测试半天都没有成功。

但是好在天无绝人之路，我突然看到一个功能点，反馈这个功能点。

1676604378_63eef3daae2586f6b1f81.png!small?1676604380240

输入了一些内容之后，抓取数据包看了一下。

1676604407_63eef3f752dc9f547ccc4.png!small?1676604408798

POST /api/apps/feedback HTTP/1.1
Host: xxx.xxx.xxx:80
Content-Length: 79
Accept: application/json, text/plain, /
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36 Edg/110.0.1587.41
Content-Type: application/json;charset=UTF-8
Origin: http://xxx.xxx.xxx:80
Referer: http://xxx.xxx.xxx:80/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6,ko;q=0.5,zh-TW;q=0.4
Cookie: sid=7e670c0c-9529-4a1b-87b6-6c6aec4edbc1
Connection: close

{"jybh":"d997E5ee-17B6-6C9A-13c1-83EAFE09F831","bt":"1","yddh":"11","jynr":"1"}

是这样一个数据包，也没有注入点之类的，感觉没啥东西啊，想着就把/api/apps/feedback这个直接拼接到url上看看，因为看到api就会让人想到信息泄露之类的。拼接上去之后，告诉我缺少pageNum这个参数，我把这个参数拼接上去。

1676604627_63eef4d3816783a396379.png!small?1676604629289

结果又告诉我缺少pageSize这个参数。

1676604673_63eef501f33229b699059.png!small?1676604675543

全部拼接上去之后发现，是一条学生的信息。

1676604755_63eef5534b30e468db2d2.png!small?1676604756817

改变这个pageNum和pageSize后面数字的大小可以看到更多信息，但是只有几个学生有反馈问题，得到的信息泄露少之又少，就只要这么一点点，够谁吃啊，再来一罐，一人一罐（刘德华bushi）。

1676604880_63eef5d072a78d280bbd0.png!small?1676604882028

0x02 漏洞深挖

虽然说挖到这样一个漏洞，但是毫无作用啊，感觉到有些挫败的时候，突然想到，这个信息泄露肯定是整个系统的问题，找一个学生信息多的地方，拼接url，看看能不能泄露的更多。

直接找到个人信息这一块，编辑然后抓包看一下。

1676623305_63ef3dc99b76d50883652.png!small?1676623307306

观察一下我抓到的这个数据包，首先我想到上面拼接语句的时候，是直接url发送数据的，所以请求方法应该是GET，并且我之前请求的时候是没有body这个部分的，所以body也要删除，然后拼接上pageNum和pageSize这两个参数。

POST /api/base/user/basic/update HTTP/1.1
Host: xxx.xxx.xxx:80
Content-Length: 748
Accept: application/json, text/plain, /
X-Requested-With: XMLHttpRequest
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36 Edg/110.0.1587.41
Content-Type: application/json;charset=UTF-8
Origin: http://xxx.xxx.xxx:80
Referer: http://xxx.xxx.xxx:80/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9,en;q=0.8,en-GB;q=0.7,en-US;q=0.6,ko;q=0.5,zh-TW;q=0.4
Cookie: sid=7e670c0c-9529-4a1b-87b6-6c6aec4edbc1
Connection: close

{"yhbh":"xxxxxxxxxxxx","xm":"xxx","nc":"1","zt":"0","pxh":0,"yddh":"189xxxxxxx","dzyx":"xxxxxxxxxxxx","qq":null,"wechatUnion":null,"wechatOpenid":null,"salt":"test","xbm":"1","yhlx":"0","tx":"xxxxxxxxxxxx_avatar","pf":"defaultSkin","bmmc":"19xx1","bmbh":"xxxxxxxxxxxx","jzbmbh":[],"yhjs":["XS"],"positionIds":null,"userLog":{"bh":"7d83f326-7cee-4ad4-b242-17faef9fdc90","yhbh":"xxxxxxxxxxxx","dlsj":"2023-02-12 23:12:40","tcsj":"2023-02-13 11:22:25","khdczxt":"Windows","khdllq":"Chrome-110.0.0.0","khdipdz":"117.92.247.178","khdlx":"PC"},"gwbh":[],"gwmc":[],"sfzjh":null,"personalSkin":null,"personalSkinThum":null,"value":null,"id":"xxxxxxxxxxxx","nickname":"1","phone":"18xxxxxx","email":"20xxxxxxxxxxxx4@xxx.edu.cn"}

但是我修改后发现请求失败了，告诉我没有权限。

1676623625_63ef3f09074e5694e4728.png!small?1676623626692

感觉好像还是有地方差点意思，发现直接语句的后面只拼接了三个目录，那我尝试也只拼接三个目录试试呢。

1676623686_63ef3f46932139f09fb0b.png!small?1676623688169

终于这一次出现了别的学生信息，这里的话可能是五层目录没有权限，但是三层目录有权限，导致了信息泄露。

1676623821_63ef3fcd558227014dbbe.png!small?1676623824023

然后我修改pageNum和pageSize这两个参数的大小，结果测试后pageNum=1,2,3,4,5和pageSize=1000的时候，分别泄露不同的一千个人的信息，pageNum后面的数字超过5之后，就没有信息了(这个学校的学生可能就这么多了)。并且pageSize后面的数值太大会造成超时。

所以我成功获取了全校四千多名学生的姓名、班级、学号、邮箱、sfz等信息（厚码码死谢谢）

1676624091_63ef40db1e2d34cdc7cd1.png!small?1676624093149