某证书站的艰难挖掘历程
zkaq - 洛川
zkaq - 洛川
掌控安全EDU
2026年6月24日 12:11
江西
在小说阅读器读本章
去阅读
扫码领资料
获网安教程
本文由掌控安全学院 - 洛川 投稿
来Track安全社区投稿~
千元稿费！还有保底奖励~（ https://bbs.zkaq.cn ）****
一、信息收集
近期edu又上新一个证书，来到证书站的统一门户
经过初步测试，该站点账号登录需要在校园网环境下才能进行登录，但是还可以app扫码登录，下载app发现app账号登录也需要在校园网环境登录，但是百密一疏，对于新生只要知道考生号和身份证号即可在公网登录
于是，直接来到抖音搜索xxxx大学录取通知书，总有人既没有安全意识有喜欢炫耀，这不直接就搜索到了
二、测试功能点
直接默认账号密码登录app
然后扫码登录webvpn系统
可惜只有少数系统开放，直接开测
来到智慧校园门户
打开bp抓包并点击信息维护
发现传参都是通过cookie，但是有一个数据包例外
这个数据包是通过考生号来传输用户照片，巧的是这个考生号是能够遍历的，因为他是有规律的
直接构造遍历
成功遍历到大量用户的照片
然后通过查找js发现一个连接管理系统，没有验证直接进入系统
直接构造xss，发现成功弹窗，并且类型为存储型
接着来到学工系统，发现系统是js写的，js写的那就很容易存在前端越权绕过
查找源代码发现登录逻辑，ResultCode=0时即可直接登录后台
抓包点击登录并修改返回包
成功登录后台
然后抓包并点击个人中心，在返回包的value里加上xss语句
成功弹出管理员cookie
最后还在前端代码中找到了aes加密的key和iv值
申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.
没看够~？欢迎关注！
分享本文到朋友圈，可以凭截图找老师领取
上千教程+工具+交流群+靶场账号哦
分享后扫码加我！
回顾往期内容
代理池工具撰写 | 只有无尽的跳转，没有封禁的IP！
点赞+在看支持一下吧~感谢看官老爷~
你的点赞是我更新的动力
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论