记录了最近在南师大对其校园网逻辑漏洞测试中的一些有趣曲折的点，虽然最后没有白嫖上网成功，但是也有意外地收货，23333

最近常来南京师范大学（随园校区）这边玩，来感受一下研究生们的学霸学习氛围~ 作为一名职业网民，打开电脑的第一件事当然就是来连接周围的 WiFi 啦。南师大的 WiFi 是校园网全校覆盖的，在学校周边也是可以连接到校园 WiFi 的。当然连上 WiFi没有这么简单，进行认证后才可以开开心心上网，接下来就分享一下最近的校园网认证系统的探索过程。

这一块记录了国光本人平时做信息收集的思路和方法，欢迎志同道合的小伙伴一起交流信息收集的相关技术~

首先校园网有2种SSID，分别是:

223.x.x.x: 江苏省南京市 教育网 ~~ 手机用流量访问这个URL认证界面无页面显示

有效信息提取教师和学生使用不同的SSID来使用校园网进行上网,接着提供了一个宿舍网络服务指南。

点击这个超链接闪了一下，然后页面刷新了一下还是这个上网认证界面。然鹅这个是外网的地址，使用手机流量是可以正常访问的。有效信息提取最后面的邮箱地址:或邮至[email protected] 后期可能会用这个邮箱（最后漏洞反馈个这个邮箱了），先记下来再说。有效信息提取

知道为啥有人叫我国光小姐姐了，原来是这个图里面我的资料填写了：女

有效信息提取

查看电脑分配的ip地址，观察下网关和ip情况:可以看到外网不通，内网的网关ip地址是:172.24.0.1

一般来说校园网是一个大的内网，这个时候拿出masscan和nmap进行全方位扫描下肯定会发现很多资产列表的。这里有小伙伴要问了：为什么进行校园网认证要收集这些资产呢？下面说下我曾经内网收集我的母校的情况: 在学校内搭建一些应用的服务器有的是不需要进行统一上网认证的，可能是进行了区域的限定，在那个区域的服务器有免认证的特权，所以信息收集的话 找到这些服务器是 关键要素 ，然后随便利用写历史上爆发的漏洞，比如：MS17-010 等等 直接拿到服务器权限，搭建有 Web 应用的服务器 可以尝试先拿到 webshell，然后提权进服务器…… 这里大家都是知道的，不具体谈这个。 拿到服务器后可以尝试搭建VPN，因为内网是相通的，这个时候利用这个VPN就可以免认证上网了……（以上纯属是国光的一厢情愿，YY……）

分别使用如下格式，对3个网段进行扫描

没有任何结果，我果然是一厢情愿~ 南师大内网很奇葩，在内网也必须得走上网认证才可以，无法直接去ping通，Nmap 扫描期间都会转向开了的80和8081端口的服务器。

结论端口扫描 – 扑街

直接暴力入侵服务器然后搭建VPN的方法落空，现在只能从这个校园网认证系统进行研究。方向：

这里我选择了 主要测试 校园网自助服务器系统，因为这里是192开头的内网地址，难度上肯定要低于223开头的外网系统的应用。测试方法 这里测试的是 逻辑漏洞，暴力破解的话 ，通过注册页面可以看出这里是 个人自定义设置密码的，不存在默认密码的可能，密码的复杂度就会很高，所以这里不到万不得已，绝对不使用暴力破解。

先注册完善一个用户信息:然后查询下审核结果: 下面是审核查询的结果:

可以看到状态是未审核，尝试在查询审核结果的登录界面进行抓包，修改其返回包：

图片看不清的下面提供具体的HTTP数据包：

这里将这个judgeType:1修改为:judgeType:0 然后再发包,结果如下:审核通过了！整理本次注册使用的信息如下

但是尝试这些密码组合最后都失败了，尽管我们已经篡改了返回包临时欺骗了系统，系统显示注册信息审核通过了，但是实际上，我们还是没有欺骗上网认证系统，上网依然需要认证。

结论篡改返回包 – 失败

密码找回直接在前端界面处并没有找到，由于前段时间看过补天排名第一的大神总结的： 密码找回漏洞的10种姿势，所以这里得想办法找到密码找回的URL。在上网认证界面处刷新一下，Burp抓包，然后看返回包，可以在返回包里面直接看到网站的部分源代码。在里面可以找到密码找回的URL处~

具体的关键代码如下:

看到忘记密码熟悉的URL，好像在自助服务这里有看到过，于是乎尝试在自助服务的后面+ 这串URL，成功获取到了找回密码界面。

到这里开始有些兴奋了，最近学的密码重置找回漏洞终于要拍上用场了 :-D 赶紧输入 一个学姐的学号 点击下一步~~ ，结果大吃一惊

找回密码的界面这里是空的，难道代码被注释了嘛？？于是审查元素看看~

果然发现了被注释的代码，除了使用了

这种格式的代码来注释，还使用了

来隐藏了界面的布局：

最后恢复了完整的布局是酱紫的:

但是点击发送的时候，还是提示 输入的手机号码是空的。代码里面已经还原了所有隐藏的组件了还是没有找到手机号码的输入框~~ 猜测可能是管理员删了这一段代码……心里还是有点不甘，感觉卡在这里 岂不是很尴尬，于是尝试自己手动添加input输入框，然后来猜测id值，这里的id我尝试了很多，在一个js里面找到了id的正确值：

最后成功添加如下输入框:

然后再输入这个学号绑定到的手机号，在隐藏域中可以找到:

有了账号，有了输入框，赶紧输入进去点击发送按钮看看~

结果！提示短信发送失败……

终于知道管理员为什么要注释删除这段代码了，因为这个密码找回的功能本来就用不了~ 可能是管理员服务器没有配置短信发送和邮件发送~~ 吐血ing

结论密码找回 – GG

在密码找会这个页面，输入用学号,意外发现了惊喜~

然后查看下返回包：

为啥第一次没有发现这个返回包呢？细心的读者朋友看下右侧 BP 返回吧的滚动条，居然上面有一大段空白，所以第一次没有滚蛋到最底下就错过了这个细节。

具体返回包关键内容如下：

里面的汉字数据全部是使用了unicode转换了，重新使用unicode码转汉字即可看到原来的内容。然后把key=2014xxxx换成key=2015xxxx后，发现返回的数据值也变了尝试批量这里借助这个POST的URL，穷举key=2014xxxx的值可以达到批量提取数据的效果。说到批量可以使用Python来编写脚本，但是我个人觉得不要重复造轮子，BurpSuite本身就可以完全实现“脱裤”效果，下面是具体的过程演示。

这一步大家一定很熟悉，右键 数据包 发送 穷举模块，准备进行爆破：

然后Clear $清除所有的变量，标记key=2014xxx后面的字段，然后Add $。

字典这里使用Burp自带的数字字典，从20140110到20140610 500个数据，这里粗略尝试看下效果怎么样。

在Intruder模块中转到Options，然后找到Grep-Extract，关于这个功能官方这里给的介绍如下:

好！这正是我们想要的功能，然后Add添加想要的数据，然后直接鼠标标记出来点击ok，这时候,Burp就智能的匹配确认了所要提取的数据信息，这里我添加了userId、userName、certicateNo、mobile分别对应用户id、用户名、身份证号、手机号。

设置好这些直接点击Start attack开始攻击。 然后坐等结果列表了。

成功拿到结果：

没错，最后我依然没有绕过上网认证系统去上网，这篇文章纯属是自己误打误撞的产物，不说了，这个月的流量又要超标了。最后这个漏洞也通过邮件形式反馈给前面收集到的网管的邮箱了。

这是国光早期为数不多写的实战文章，当时好评还可以的，如果不是期间误删了评论的数据库，这篇文章当时还是很多评论的。比较有意思的是，后面一段时间爆出的锐捷通用漏洞也是出自这篇文章，我自己当时居然都没有这种提交 CNVD 的这种敏锐的嗅觉，当时真的是心无杂念，233333

本文可能实际上也没有啥技术含量，但是写起来还是比较浪费时间的，在这个喧嚣浮躁的时代，个人博客越来越没有人看了，写博客感觉一直是用爱发电的状态。如果你恰巧财力雄厚，感觉本文对你有所帮助的话，可以考虑打赏一下本文，用以维持高昂的服务器运营费用（域名费用、服务器费用、CDN费用等）

没想到文章加入打赏列表没几天 就有热心网友打赏了 于是国光我用 Bootstrap 重写了一个页面 用以感谢 支持我的朋友，详情请看 打赏列表 | 国光