EDU漏洞挖掘实战教学：从信息收集到内网渗透

1. 前言

本教学文档基于一次真实的EDU漏洞挖掘案例，详细讲解如何通过信息收集、密码规则分析、爆破技巧等手段突破教育系统的统一身份认证，最终获取内网访问权限。所有提及的漏洞均已提交至edusrc平台并修复。

2. 信息收集阶段

2.1 初始发现

• 目标系统：某教育机构外网系统
• 认证方式：统一身份认证
• 初始密码规则：xxxx@SFZ后六位（xxxx为固定前缀，SFZ指身份证号码）
• 用户名规则：学号

2.2 搜索引擎技巧

使用以下搜索语法寻找敏感信息：

site:xxx.edu.cn "学号|SFZ|密码"

当上述关键词无果时，尝试替代关键词：

site:xxx.edu.cn "助学金、奖学金、补贴"

成功发现一处敏感信息泄露点，获取了部分用户的个人信息。

3. 密码规则分析

3.1 已知信息整合

从统一身份认证登录条件可得出：

1. 用户名是学号
2. 密码由固定前缀+@+身份证后六位组成
3. 已获取部分用户的身份证后五位

3.2 身份证号码结构分析

中国身份证号码（18位）结构：

前6位：地区代码
接下来8位：出生日期（YYYYMMDD）
最后4位：顺序码和校验码

关键发现：

• 密码使用的后六位中，倒数第6位和第5位代表出生日期的"日"（01-31）
• 已知道部分用户身份证后五位中的前几位

4. 密码爆破实战

4.1 密码构造方法

基于已知信息构造密码示例（非真实）：

xxxx@020101
xxxx@120101
xxxx@220101

实际测试中，第二个示例xxxx@120101成功登录。

4.2 密码修改绕过

系统要求修改密码时需要输入完整身份证号，但：

• 已知某用户身份证前7位和后6位
• 中间部分被打码，但可推测：
  • 年份后三位（如1999→999）
  • 月份（01-12）

4.3 精准爆破技巧

1. 年份确定：

   • 根据用户年级（如大三）反推出生年份
   • 假设用户为199X年出生（X为数字）

2. 爆破方案：

   • 固定已知部分
   • 爆破年份后三位：199X
   • 爆破月份：01-12
   • 使用Burp Suite等工具自动化尝试

5. 权限提升与内网渗透

5.1 VPN接入

• 统一身份认证与VPN绑定
• 成功登录后获取VPN权限
• 可访问多个内网段

5.2 横向移动

• 通过统一身份认证平台跳转到多个子系统
• 可在各系统进行进一步测试（出于道德考虑，点到为止）

6. 关键知识点总结

1. 搜索引擎技巧：

   • 使用site:限定域名
   • 尝试多种相关关键词组合

2. 密码规则分析：

   • 识别系统密码生成逻辑
   • 结合身份证号码结构进行推理

3. 精准爆破：

   • 利用已知信息缩小爆破范围
   • 结合社会工程学信息（如年级推断出生年份）

4. 权限提升：

   • 利用系统间的信任关系（如统一认证与VPN绑定）
   • 从外网突破到内网的技术路径

7. 防御建议

1. 避免使用可预测的初始密码规则
2. 敏感信息（如身份证号）不应作为密码组成部分
3. 重要操作（如密码修改）应设置更强的身份验证
4. 定期检查并清理网络上的敏感信息泄露
5. 实施多因素认证，特别是对于VPN等关键系统

8. 道德与法律提醒

本教学仅用于网络安全教育目的，所有测试应在获得授权后进行。未经授权的系统测试可能违反法律，请严格遵守网络安全法律法规。