当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-074817

漏洞标题：全国通用期刊稿件系统 Journalx 2.0 存储型xss

相关厂商：北京玛格泰克科技发展有限公司

漏洞作者： 我的老伙伴们都惊呆了

提交时间：2014-09-03 15:55

修复时间：2014-12-02 15:56

公开时间：2014-12-02 15:56

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：18

漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-09-03： 细节已通知厂商并且等待厂商处理中
2014-09-08： 厂商已经确认，细节仅向厂商公开
2014-09-11： 细节向第三方安全合作伙伴开放
2014-11-02： 细节向核心白帽子及相关领域专家公开
2014-11-12： 细节向普通白帽子公开
2014-11-22： 细节向实习白帽子公开
2014-12-02： 细节向公众公开

简要描述：

期刊稿件远程处理系统 Journalx 2.0 是北京玛格泰克公司独立开发的，国内领先的新一代期刊稿件远程处理平台。
Journalx 2.0 为同行评议学术期刊和其他运行模式的期刊提供一套符合工业标准的在线稿件处理平台。它不仅在技术上采用业界标准的技术规范 J2EE，在系统安全性和稳定性、系统功能强大和自定义的灵活性、用户界面、系统响应速度等方面均处于国内领先水平。
Journalx 2.0 包括 系统管理、作者远程投稿/查稿系统、专家审稿系统、编委批稿系统、主编办公系统和编辑办公系统等功能模块。同时，系统还提供了基于UTF-8编码的相应英文界面。因此，它不仅能满足国内中文期刊的稿件处理和网络出版的需要，也满足了英文期刊面向国际的稿件处理和网刊发布的需要。
Journalx 2.0 不仅支持单个刊物的稿件处理流程，还支持多刊协同和数据整合的跨刊业务流程处理。
在海里文献数据库magsci的支撑下，以及与 CrossRef 和 Pubmed 的接口支持下，Journalx 2.0 在文献查找与连接方面提供了独到的功能服务，为编辑部核对文献提供极大的便利。
通过与北大方正的最新排版系统飞翔的接口，使得Journalx 2.0 成为业界唯一的实现稿件审理流程与生产流程的无缝整合的系统，对编辑部缩短刊出周期、减少工作量、提高数据质量具有很大的意义。

详细说明：

根据官网2011年度统计，目测至2014年全国至少有几千家政府、机构机关单位在使用此系统
官网2011年度统计：

在过去的2011年里，北京玛格泰克公司获得了较大的发展：在2011年度中总共为275个期刊部署了 “期刊稿件远程处理系统”(Journalx 2.0)，平均每个工作日至少部署一套，也就是说，Journalx的1年装机量超过了所有竞争对手产品的所有装机量的总和还多，至此，Journalx的总装机量已经达到1485套（不含已签合同未安装的），使Journalx 成为国内期刊采编平台当之无愧的第一品牌，并与其他品牌进一步拉开差距。


google部分指纹：

inurl:authorLogOn.action


如：

http://nvc.sjtu.edu.cn/JournalX_nvc/Login.action
http://www.ejournal.org.cn/JournalX_dzxb/Login.action
http://202.197.64.130/journalx_xb/Login.action;jsessionid=84B056D388B9946F19CE526634AF6884
http://202.116.192.73:8080/journalx_xdwy/Login.action;jsessionid=B2E71C89303E9944E51F16DDE5F640B3
http://journal.polar.gov.cn/CN/volumn/current.shtml


案例演示：
演示目标 -- http://tsglt.zslib.com.cn/
#1 Cookie
首先注册一个作者账号，然后进入作者工作台，选择投稿

8.png


文题栏目内写上xss的poc，如图

9.png


管理审稿时触发Store XSS，成功打到cookie

10.png


当然，这里不止文题一个框架会触发Poc，作者姓名、关键词、摘要、正文都存在Store XSS，利用方式和文题一样，不多赘述。
#2 获取管理密码
来到个人信息修改页面，然后我们就惊呆了，厂商为何如此霸气

11.png


以明文储存密码在web前端，我们只需要利用Store XSS执行一段JS从html元素中获取value就可以直接获取到管理员的密码了
这只是我第一个惊呆了的地方，更震惊的在后面，扫了一眼上方的URL

13.png


将authorID修改后，我和我的老伙伴都惊呆了

14.png


直接对其他用户进行操作，包括查看密码，不过这个站的管理员并不是这个admin，登陆进去一看就一普通作者。。。。sorry，离题了。。。
除了修改密码以外，个人信息也是如此，只要修改authorID，就可以直接对其他用户的信息进行编辑

15.png


我和我的老伙伴又一次惊呆了。。。这里只需要拿Store XSS进行最简单的location抓取，得到authorID后就可以强行越权操作、控制、修改管理员任何东东了
当然，笨人可以直接暴力 FUZZING
#3 重置管理密码
和#2一样，利用Store XSS 加载外部JS，直接发送数据包，当前域下重置用户密码，如图

12.png


安全是一个整体，不要小看Store XSS

漏洞证明：

见详细说明

修复方案：

1、过滤
2、cookie加上校验，防止越权
3、控制域

版权声明：转载请注明来源 我的老伙伴们都惊呆了@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：11

确认时间：2014-09-08 09:38

厂商回复：

最新状态：

暂无