中国网络渗透测试联盟

标题: Ewebeditor漏洞2 [打印本页]
作者: admin    时间: 2012-9-13 17:00
标题: Ewebeditor漏洞2
eWebEditor.asp?id=45&style=standard1 样式调用
2 g. x& \- Q' E2 M- z" p# d/ J+ a6 J3 U" e4 e6 z

/ N$ c8 E- |# D3 q% B: o3 r2 i/edit/admin_uploadfile.asp?id=14&dir=../../..
! C6 J: i. o9 Z3 j8 j可以浏览网站目录  ../自己加或者减
% x$ R9 ^( j7 `# `3 h; U0 o' ~
有次无意的入侵使我发现了ewebeditor2.7.0版本的存在注入漏洞
- J+ M! ~6 q' T. [/ g! k' P简单利用就是
8 B: s! r- }" Y8 ~4 i2 Thttp://site/path/ewebeditor/ewebeditor.asp?id=article_content&style=full_v200# m% c7 [* V% {4 f( c
http://www.siqinci.com/ewebedito ... amp;style=full_v200
; [1 H: u: Z" D可以利用nbsi进行猜解，对此进行注入9 D1 z( v! x4 j9 u
还有的时候管理员不让复制样式，但是你又看到有个样式被别人以前入侵修改了存在asa或者之类可以传shell，但是上传插入工具没有，又无法修改怎么办那？也许很多人说应该可以加工具栏，但是我就遇见过不让加的( C9 `6 A5 R; |, E( W2 a) f
这样我们可以利用ewebeditor里的upload.asp文件进行本地构造进行上传具体如下：" J# y: g9 U& m
在action下面
' r/ @0 o3 Q- S<form action="http://*********/edit/upload.asp?action=save&type=ASA&style=test" method=post name=myform enctype="multipart/form-data">, G# A3 Q0 k: p' s- a7 b
<input type=file name=uploadfile size=1 style="width:100%" onchange="originalfile.value=this.value">
/ c  {& S6 V% T8 n<input type="submit" name="uploadfile" value="提交">
/ q: g+ A) r# n! i8 s<input type=hidden name=originalfile value="">
* {, d8 @6 N9 f5 f% Y# Q</form>
& r) |& v0 k5 D. m' i2 }! C/ _2 G------------------------------------------------------------------------------------------------------------------------------------------------
. b% M# o3 V2 _. o, I<input type="submit" name="uploadfile" value="提交">    放在action后头5 c' ~! b& `' }8 a4 Y* i, M# V$ c& l
，适合用于在ewebeditor后台那个预览那里出来的 比如上传图片那里，有些时候上传页面弹不出来，就可以用upload.asp?action=save&type=ASA&style=test 这个本地来提交，不过这个东西还是要数据库里上传类型有ASA才可以传得上。" ?1 J6 x( w/ L/ p9 V: ?

7 ]1 W9 ]/ P# d! X2 z" ]0 Q0 Q' n4 G$ j# B

9 y1 B$ d  q! K5 D$ P, S' p& \. A2 Z8 v5 J
Ewebeditor最新漏洞及漏洞大全[收集] (图)
3 y% k% G4 A5 W* J5 i本帖最后由 administrator 于 2009-7-7 21:24 编辑
/ p: H4 Q; ?) t  m6 w" N2 o6 J4 z
+ `) A6 u7 h- ]7 u& s8 E以下文章收集转载于网络  q  @) H/ `9 b' l
#主题描述# ewebeditor 3.8漏洞[php]4 K0 ^& d! d0 \6 o: J$ U0 \$ R
--------------------------------------------------------------------------------------------* J; r- J' d, U6 Y: N4 {
#内容#* U* }; M  N/ m! V0 s
php版ewebeditor 3.8的漏洞* A  X6 i1 X7 c& O2 I
php版本后台是调用../ewebeditor/admin/config.php,大家去看下源码就知道，在这里我说说利用方法:6 v0 `" l4 u  a- G. d4 [: A2 y1 b
1 首先当然要找到登陆后台,默认是../eWebEditor/admin/login.php,进入后台后随便输入一个用户和密码,当然会提示出错了,必须是出错的时候，然后这时候你清空浏览器的url,然后输入 javascript:alert(document.cookie=”adminuser=”+escape(”admin”)); javascript:alert(document.cookie=”adminpass=”+escape(”admin”)); javascript:alert(document.cookie=”admindj=”+escape(”1″));后三次回车,
, i- ?0 T) z* o1 @6 N, P2 然后输入正常情况才能访问的文件../ewebeditor/admin/default.php就可以进后台了
1 }/ b' x/ n0 a0 s4 K. E4 h; b, w4 B3 后面的利用和asp一样,新增样式修改上传,就ok了
  X: x4 d3 J* ]9 q2 @1 I测试一下asp 2.8版本的,竟然一样可以用,爽,看来asp版的应该可以通杀(只测试2.8的,貌似2.8是最高版本的)
% K1 y. |( Y: O6 zaspx的版本../ewebeditor/admin/upload.aspx添好本地的cer的Shell文件,在浏揽器输入javascript:lbtnUpload.click();就能得到shell
) g. ~$ T8 i; }# Xjsp的上传漏洞以及那个出了N久了,由于没有上传按钮,选择好要上传的shell,直接回车就可以了" U4 \6 y& K( v  @1 W- X2 |3 w3 K0 _
--------------------------------------------------------------------------------------------4 c! h7 t3 x# S& y
- d% f% r, }  g# Z; {* S/ g5 s0 F
5 ~1 H' O) l- V
算是比较全面的ewebeditor编辑器的漏洞收集，现在的网站大多数用的都是ewebeditor编辑器，所以ewebeditor漏洞的危害性还是相当大的，做了一下漏洞收集，漏洞修补的方法可去网上查找。+ V6 ^. g% Z  Q" ^
- M' X# l2 \! y: f' e6 t
漏洞更新日期TM： 2009 2 9日 转自zake’S Blog- I8 K* C+ p4 Q! g# o, Z: |+ t5 o
        ewebeditor最新漏洞。这个程序爆漏洞一般都是直接上传的漏洞，首先在本地搭建一个ASP环境重命名一个木马名字例如：1.gif.asp这样的就OK了
. `' s1 K1 X" ?( C; l那么接下来完美本地搭建一个环境你可以用WEB小工具搭建一个，目的就是让远程上传。/pic/3/a2009-6-4-7341a1.gif.asp搭建好了 ，在官方的地方执行网络地址
- ~) v) a3 D) c! |8 y
, H) T: J& |1 {9 L8 O" j" b$ Q; |5 q/ F" Y6 ~  _; J, a
然后确定以后，这里是最关键的一部！
: Z( K) d' n+ j7 c这里点了远程上传以后，再提交得到木马地址
1 E  v. H- u7 t. V8 \( L- i- ~由于官方在图片目录做了限制 导致不能执行ASP脚本而没能拿到WEB权限7 g9 B' m; w2 w! z, S% [! @& C
属于安全检测漏洞版本ewebeditor v6.0.08 G! g6 A  t: L6 h6 k3 E  Y
0 M+ {" D5 \) ~: e
以前的ewebeditor漏洞：9 F7 I) V1 v( r+ w; B- z
: ^' A  K) J8 i, S3 q' X" q
ewebeditor注入漏洞
2 r' O1 T/ S% C8 f% n8 b; q4 w' g) }: ^% P; ~
大家都知道ewebeditor编辑器默认的数据库路径db/ewebeditor.mdb
( H* W7 n. t' Q% G/ Y默认后台地址是admin_login.asp，另外存在遍历目录漏洞，如果是asp后缀的数据库还可以写入一句话
! ?; O. w) h6 ~3 |. ~* u/ C今天我给大家带来的也是ewebeditor编辑器的入侵方法% F# }# h) C" I2 f# _7 K6 P! A
不过一种是注入，一种是利用upload.asp文件，本地构造
7 k3 Y: p9 L% O) o: n) {3 \) hNO1：注入: M2 v% C; M/ ~
http://www.XXX.com/ewebeditor200 ... amp;style=full_v200
1 _+ y" F7 |) u) v$ t- Q编辑器ewebedior7以前版本通通存在注入9 M4 z2 e: p* z! i2 H4 T& z' |
直接检测不行的，要写入特征字符
0 s: R5 ^4 ?: a% t/ v3 G我们的工具是不知道ewebeditor的表名的还有列名
/ A* m. D5 ]1 }* p5 V- C! ^* e我们自己去看看$ W3 k  s6 }: |& v( C' i
哎。。先表吧( f4 q5 P( n2 t* p- t4 r
要先添加进库% G% o7 B6 C: o7 n! U# ~- D  P1 N
开始猜账号密码了( Y8 H  Q3 R* _- f% |+ B
我们==* l3 p2 W) [& _2 G: F
心急的往后拉
# }" `& F/ L. _. ~( d出来了) e% u' i: r* `1 T
[sys_username]:bfb18022a99849f5 chaoup[sys_userpass]:0ed08394302f7d5d 8511206 U' |1 e7 i1 T- r/ L) E
对吧^_^
7 i2 B5 i- j8 j/ z$ v- X后面不说了' j% S) Z; H9 q) o' p
NO2：利用upload.asp文件，本地构造上传shell5 i5 V. K" w' u+ F: m
大家看这里
5 z' j9 F: D- Bhttp://www.siqinci.com/ewebedito ... lepreview&id=376 m. E* a) x" B: w  I
如果遇见这样的情况又无法添加工具栏是不是很郁闷
+ m8 T7 Q1 P; [" X1 C现在不郁闷了，^_^源源不一般9 U1 y$ z( ^/ [1 `) k$ q
我们记录下他的样式名“aaa”( x( L" e% X( R* A. @$ e: r8 |7 p
我已经吧upload.asp文件拿出来了3 S' `7 R% S/ p4 O- _
我们构造下
! N* l5 B2 D" E* g$ XOK，我之前已经构造好了2 A6 @0 |; j  O; I
其实就是这里
, T, q& q, `# E6 t$ ^2 i( G: C<form action=”地址/path/upload.asp?action=save&type=&style=样式名” method=post name=myform enctype=”multipart/form-data”>' l: ?; W4 N0 }, }
<input type=file name=uploadfile size=1 style=”width:100%”>* I' H( m; \2 {$ ^1 W
<input type=submit value=”上传了”></input>
" Q/ d( z% j2 \6 g) f  P9 N</form>
* c# T  O4 w. i7 F0 v9 P8 @1 v% V下面我们运行他上传个大马算了
5 ?) ~  h" I, }- u1 B" WUploadFile上传进去的在这个目录下
5 ?  b6 R1 {/ k) V/ X2008102018020762.asa
3 w& T" @- w; ]! E$ {: o$ ?* N4 {4 W; |- ], ~, q1 B
过往漏洞:
1 W3 f9 V  k: n
' r: ?' r4 c- ?* l! y首先介绍编辑器的一些默认特征:: X) g8 |! i3 h
默认登陆admin_login.asp; ?: s& l0 [0 e; i
默认数据库db/ewebeditor.mdb& K' ^& K* q8 i0 G
默认帐号admin 密码admin或admin8887 c+ E# E* `1 ?8 i" c; F: E
搜索关键字:”inurl:ewebeditor” 关键字十分重要
, d& G2 @8 y; r9 C7 u' D$ O有人搜索”eWebEditor - eWebSoft在线编辑器”, J4 h# ~2 o! }9 H+ j. |
根本搜索不到几个~
9 I# X5 }/ [. mbaidu.google搜索inurl:ewebeditor
  Z/ f" d+ A5 H# Q7 A  T几万的站起码有几千个是具有默认特征的~
5 a- k0 `7 P5 g; {; e6 {那么试一下默认后台9 {. w( O: k( E1 ~0 {  C; m
http://www.xxx.com.cn/admin/ewebeditor/admin_login.asp
" q2 A% D' Y/ R1 P. `" b试默认帐号密码登陆。7 o: M$ k/ m$ S- [0 Q
利用eWebEditor获得WebShell的步骤大致如下：7 c& v; ~+ T  {$ f$ @/ N' y' s
1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。
0 Y0 x3 J) U& G" l% [+ \2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID=’eWebEditor1′ src=’/edit/ewebeditor.asp?id=content&style=web’ frameborder=0 scrolling=no width=’550′ HEIGHT=’350′></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src=’***’中的“***”，这就是eWebEditor路径。
) N# j# y7 W4 {3 {7 M$ {4 [; v3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。
8 Q) L; S- o! C如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！
0 z7 b8 A# R. p4 P" t" U4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。! J4 E- L" q2 K# w
然后在上传的文件类型中增加“asa”类型。
8 ^. c- u+ k/ A) `5 a% _: r5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。6 F3 U- ?! y' O9 O# H
漏洞原理
7 \* S6 Z  k! T' e: X! l% [漏洞的利用原理很简单，请看Upload.asp文件：
( M+ F9 _6 l9 j$ R9 h* Y: A任何情况下都不允许上传asp脚本文件
1 j" Z6 W4 m$ r! ?2 N2 h0 M" hsAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)
; D! V$ G+ X2 d因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！! u( q) Y) f8 k  O. b$ W! g! g* _
高级应用
1 d- v7 G7 W8 n1 T3 ?eWebEditor的漏洞利用还有一些技巧：6 ?# Z; f. D8 Q( V+ }* H2 c
1．使用默认用户名和密码无法登录。
  R; y2 e0 `; |" ], V请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法破解，那就当自己的运气不好了。
' A3 ^9 {4 h0 Y7 A2．加了asa类型后发现还是无法上传。
; G7 C0 l% X/ i) L# x6 f5 W2 f; r应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)一句上修改，我就看见过一个站长是这样修改的：
  _  @0 v- Q- v; r$ DsAllowExt = Replace(Replace(Replace(Replace(Replace(UCase(sAllowExt), “ASP”, “”), “CER”, “”), “ASA”, “”), “CDX”, “”), “HTR”, “”)
( Z5 V% Z' j5 V  D2 c. G) @6 o9 Y猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。
' `# I% O' O7 L/ E0 k, ~3．上传了asp文件后，却发现该目录没有运行脚本的权限。% n* k( Q) N) S8 v; }+ H
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。
- s; B1 B, w& L4．已经使用了第2点中的方法，但是asp类型还是无法上传。
$ ]" w9 `& [6 _看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。
- y! F7 g; {) Z# w; D( ]' C后记& V4 j2 B3 X; B7 ?$ G' o
根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！( U' H2 ~/ |. E
基本入侵基础漏洞
; K. m! W1 k" l; H7 SeWebEditor 漏洞
; [- r/ e' X3 h3 q. J7 f: D, L: t1 E" P9 V3 B9 B) e- g
各位站长在使用eWebEditor的时候是否发现，eWebEditor配置不当会使其成为网站中的隐形炸弹呢？第一次发现这漏洞源于去年的一次入侵，在山穷水尽的时候发现了eWebEditor，于是很简单就获得了WebShell。后来又有好几次利用eWebEditor进行入侵的成功经历，这才想起应该写一篇文章和大家共享一下，同时也请广大已经使用了eWebEditor的站长赶紧检查一下自己的站点。要不然，下一个被黑的就是你哦！  ( y2 d, U5 c0 @; j
' Q4 f% l& d# E8 Z" B
漏洞利用4 d& m9 ~, P4 y, `- c( M' j) ~
利用eWebEditor获得WebShell的步骤大致如下：
6 s. L) r# r( W1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。$ o! `3 j7 x, N" F" z
2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID='eWebEditor1' src='/edit/ewebeditor.asp?id=content&style=web' frameborder=0 scrolling=no width='550' HEIGHT='350'></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src='***'中的“***”，这就是eWebEditor路径。
# @* n3 A/ b1 ^( F) Y3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。& F' j% c6 i1 {4 v) r7 H6 `
如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！
( A# F: O% z. N% ]4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。; }4 h9 A# Q0 X
+ h, I7 Z: ?5 f: M' O9 t( e) c% e& z& Z
然后在上传的文件类型中增加“asa”类型。
# I9 z2 k" t: k" l1 f0 j% @+ W% y& w7 B) I! ?) Q+ ^
5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。
4 `4 S0 I$ J! G! j0 Z, x# J/ b$ G+ ]. ]
6 X4 z0 r" R  c* t5 u8 }
漏洞原理
; E3 C9 P2 I' ^4 a$ R' {6 T漏洞的利用原理很简单，请看Upload.asp文件：
( O# F$ s+ R, }0 d+ r0 T任何情况下都不允许上传asp脚本文件: ~. v/ c& f9 Q  Z/ A  u+ o
sAllowExt = replace(UCase(sAllowExt), "ASP", "")
* H" b$ }3 e' ~' K& l' A* J  `# E因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！
, _6 x0 u! s" ]! `5 t, t5 U9 l; G9 \( t% i' T
高级应用7 d) S, N7 B4 A# r5 v. J% u7 X- G6 S
eWebEditor的漏洞利用还有一些技巧：
& O" D2 n& @3 C; o8 o! L+ r8 w1．使用默认用户名和密码无法登录。' A& D$ U( p0 S" Q
请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法****，那就当自己的运气不好了。0 c/ U7 D% Z$ o- T7 s
2．加了asa类型后发现还是无法上传。
" J' L4 O: I' D1 ?应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = replace(UCase(sAllowExt), "ASP", "")一句上修改，我就看见过一个站长是这样修改的：
0 w" w- t, ~- |& S" N; g. y6 DsAllowExt = replace(replace(replace(replace(replace(UCase(sAllowExt), "ASP", ""), "CER", ""), "ASA", ""), "CDX", ""), "HTR", "")
2 _# \8 n( ?  u2 {  R猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。8 t8 ~# v+ D. g
3．上传了asp文件后，却发现该目录没有运行脚本的权限。. a1 q/ E; k, M2 t: ]& N; w
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。: o9 E, ?0 |7 M% }1 G) K
4．已经使用了第2点中的方法，但是asp类型还是无法上传。: j/ c, V$ Q" i! a
看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。; |: r9 }$ y1 ~" ]
7 m. ?8 N7 \9 [1 t7 l; O3 N& ?
后记4 S/ k1 H, N) K* t1 r
根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2