该漏洞的触发点为/dede/tag_test_action.php。起因是csrf_check()的绕过，导致可执行任意代码。
查看/dede/tag_test_action.php文件的源码：
如果直接访问这个文件，会进入csrf_check()函数。提示token错误，且退出执行。
跟进csrf_check()，该函数所在文件为dede/config.php:
这里的判断只是判断token值是否和session中的token相等，还有就是判断token是否存在。就这么来看，貌似比较矛盾。Session[‘token’]的值我们不知道，我们没法伪造token。有趣的是，当我们登录之后，并不会生成session[‘token’]，也就是说，这时的session[‘token’]为null。
这样的话，我们只需要构造http://localhost/a.php?token=
这样就可绕过csrf_check()
绕过之后，便可为$partcode构造payload。
首先是对数据进行初始化。跟进$pv->SetTemplet()，跟踪变量的流向：
继续跟进DedeTagParse类的LoadSource方法：
在这个方法中，我们传入的payload被写入inc文件中，继续跟踪LoadTemplate：
这里先是判断文件是否存在，很显然是存在的。随后将文件读入$this->SourceString字符串中。
继续跟踪LoadCache方法：
在这里，将数据读入缓存中。至此，数据初始化完成。
触发代码执行的点在PartView类的Display方法，源码如下：
在display()方法中再次调用DedeTagParse类中的display()方法：
跟进GetResult():
跟进AssignSysTag()方法：
最后跟进Runphp方法：
在这里，只是简单的将数据从对象中提取出来，做一些简单的字符串替换，便可成功执行代码。
综上，我们传入的$partcode变量应该符合dedecms模板格式，且带有runphp=’yes’标签。
基于此，我们可构造以下payload：
partcode={dede:field name='source' runphp='yes'}phpinfo();{/dede:field}
加上绕过csrf_check()的payload，得到最后的poc:
http://localhost/后台地址/tag_test_action.php?url=a&token=&partcode={dede:field name='source' runphp='yes'}phpinfo();{/dede:field}
利用条件：登录后台
解决方案：重新实现csrf_check()函数