中国邮政速递物流某系统IIS PUT

http://work.ems.com.cn 开放端口：

这些开放的端口大部分工作着一些功能性的接口：

因开放WebDav，且支持PUT、MOVE，所以通过此功能获取到了webshell.服务器上包含非常多的源码及各类数据：

在工作的网站配置中找到了数个数据库的连接信息，尝试连接本机的sqlserver:sa权限，使用xp_cmdshell执行系统命令：

使用MSF反弹可进一步扫描内网：

管理员飞秋的记录中包含的密码：



抓取管理员的登录密码：




127.0.0.1       localhosth haitaole-api.11183.hhk
192.168.3.11  ZT-TEC
192.168.0.2 erpsvn.yall.me
192.168.0.2 www.chc.com
192.168.0.2 www.xshd.com
192.168.12.126  zt-pc
192.168.0.2 www.xshd2.com
192.168.0.2    www.blg.ru
192.168.0.2    www.blg.com
192.168.0.2    br.blg.com
192.168.0.2    ru.blg.com
192.168.0.2    de.blg.com
192.168.0.2    pt.blg.com
192.168.0.2    russian.blg.com
192.168.0.2    espanol.blg.com
192.168.0.2    deutsch.blg.com
192.168.0.2    portugues.blg.com
192.168.0.2    nederlands.blg.com
192.168.0.2    norsk.blg.com
192.168.0.2    m.blg.com
192.168.0.2    www.chgd.com
192.168.0.2    tmimg.yall.me
50.23.229.206 www.wmart.com
192.168.9.25 sp2013zt
192.168.0.2 erpsvn.yall.me # SVN
192.168.0.2 www.xshd2.com
192.168.0.2 www.chc.com
50.23.229.206 www.wmart.com
192.168.0.2 www.xshd.com
192.168.3.11 zt-tec
192.168.0.2 wmart2.yall.me
192.168.0.2 www.yey.com   m.yey.com  www.image-tmart.yey
192.168.0.2 m.yey.com www.yey.ru de.yey.com br.yey.com www.yey.com
192.168.0.2 ru.yey.com espanol.yey.com portugues.yey.com deutsch.yey.com russian.yey.com www.yey.es
192.168.0.2 norsk.yey.com nederlands.yey.com
192.168.9.241   img.zongteng.me
192.168.9.3   zterp.zongteng.me
192.168.9.3   zterp1.zongteng.me
192.168.9.3   zterp2.zongteng.me
#192.168.9.10   erpws.zongteng.me
192.168.9.10  yd.erpws.zongteng.me
192.168.9.10   dx.erpws.zongteng.me
192.168.9.10   wt.erpws.zongteng.me
192.168.3.11  api.11183.hk
127.0.0.1 admin.ce.com
192.168.0.2 www.yey.com
192.168.0.2 www.wyy.com
192.168.3.11 log.11183.hk
127.0.0.1 api-chongqing.11183.hk
74.125.25.109   imap.gmail.com
66.211.179.148 api.ebay.com


修复方案：
全面检查源代码、压缩包及系统中的后门，早已成养马场，关闭IIS的WebDav功能。