WooYun.org

目测主站是没什么搞的，没有发现可利用的地方。
然后对主站的c段进行扫描，发现了下列几个web系统
http://service.uboxol.com/login/login 客服后台
http://211.151.164.47/seeyon/index.jsp OA系统
http://211.151.164.78/index.php 仙人掌
http://211.151.164.62/ 站台app官网 目测又是一约炮神器
http://neirong.uboxol.com/index.php 友乐汇后台
http://vms.uboxol.com/ubox-vms/login.do 后台管理系统（核心系统）
大致看一下，弱口令没得，嘛也找不到，放弃正面攻击。
回到vms后台管理系统，发现版权后面有一个故障管理的链接，点进去

http://124.127.89.53:8080/zentao/
来到了禅道项目管理系统，弱口令没的，又是一个c段，又是一顿扫。
http://124.127.89.57/ 客户管理系统（CRM）
https://124.127.89.49/ 友宝统一账号密码修改
http://124.127.89.51:8080/ 目测是一个down脚本的地方
down一个ubox-whitelist.wanup白名单脚本

iptables -I wanout -d 211.151.164.32/27 -j ACCEPT
iptables -I wanout -d 124.127.89.48/28 -j ACCEPT
iptables -I wanout -d 10.0.0.1 -j ACCEPT
iptables -I wanout -d 10.0.0.254 -j ACCEPT

友宝的ip段，跟我开始目测的
124.127.89.47 -124.127.89.64
211.151.164.1 -211.151.164.80
差不多。
既然这样，也就不再找新的ip段了，就在已经找到的系统上下功夫把。
先是故障管理系统又目录遍历，但是没有找到任何有用的东西。
http://124.127.89.53:8080/zentao/data/upload/1/
然后。。卡住了
那么多struts的系统，让我秒一个多好啊，可惜好像都补了。
后来突然发现
http://124.127.89.57/ 客户管理系统 是 .NET写的
然后又神器的发现可以目录遍历，然后更神奇的发现是编译好的dll,果断全部脱下来反编译。
先是抓包得到登陆的post地址是
http://124.127.89.57/Login.ashx?&Type=Login
然后源码里找到登陆模块。

各位看官看明白了么，每天晚上7点到8点，返回-1
如果cookie值里的account不为空，就执行
select password from sys_user where ACCOUNT='" + str9 + "'"
活生生的把密码给select出来了。。当然是要用户名存在的情况下
然后给你把用户名和密码显示在 "❄" 这朵菊花的两侧。。这朵菊花。。。
最终利用方法就是修改
http://124.127.89.57/Login.ashx?Type=Load
的cookie 加上一个account
为了方便，写了个php脚本进行中转
http://localhost/zz.php?a=xxx a就是cookie中account的值
用后来获得的一个用户名证明一下

赤裸裸的菊花和密码就这么显示出来了
想问我是怎么获得的用户名？注意上面的sql语句，这是个注入点！

很开心有木有。注入后获得管理员账号是gly密码是1，对，就一个1。
进入后台后发现毫无可利用的地方，只是一个管理和查询客户信息的后台。
但是不要紧，这里的注入点给我们提供了宝贵的员工账号和密码资源。