文章总结： 本文记录了一次针对高中教育网站的渗透测试过程，通过信息收集发现Go-fastdfs站点，利用公开的未授权访问和任意文件上传POC成功获取访问权限。虽然上传文件无法直接解析，但通过目录穿越漏洞发现了包含10万余条学生报名信息的敏感数据，包括姓名手机号和家庭住址。该案例展示了文件系统漏洞可能导致的大规模数据泄露风险，强调了及时修补已知漏洞和实施严格访问控制的重要性。 综合评分： 81 文章分类： 渗透测试,红队,漏洞分析,漏洞POC,数据泄露

【红蓝对抗】记一次教育攻防的渗透过程

原创

观止安全

观止安全

2025年12月22日 09:00 安徽

免责声明：本公众号所发的内容仅供学习用途使用，由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责！如有侵权，烦请告知，我们会立即删除！观止安全拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。

• 前言

    这次教育攻防主要对高中进行攻击，资产很少，现场一片祥和，就挑出对一个网站进行漏洞挖掘的过程，过程很简单，大佬轻喷。

• 渗透过程

在信息收集找到了一个Go-fastdfs的站

网上公开了两个POC：未授权和任意文件上传，这里也是成功拿下

（这里在我的Nday合集有分享的POC）

未授权：

任意文件上传：

接着上传文件，发现上传的文件只能下载， 没有解析

后面又继续尝试一层一层删掉路径，结果发现有目录穿越

接着翻找信息，找到学生的报名信息，姓名，手机号，家庭住址

没想到这里最后能找到10w+信息，这里只能厚码了哈哈

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：观止安全 观止安全《【红蓝对抗】记一次教育攻防的渗透过程》