FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文
8 i& [6 B6 L: |0 o- W
原帖：http://club.freebuf.com/?/question/129#reply12

FCKEditor 2.6.8文件上传漏洞
/ w9 ?, p3 u0 Z# f6 m# ~; n
Exploit-db上原文如下：
9 i8 W$ {& \5 g9 r' L7 \
- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
: x$ Y1 P8 E% O% Q- W- Credit goes to: Mostafa Azizi, Soroush Dalili
& Q' @* q7 ~, Y- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
) T1 a& g+ B) o' odealing with the duplicate files. As a result, it is possible to bypass
the protection and upload a file with any extension.
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
2 |* W& [6 Q9 K' J- Solution: Please check the provided reference or the vendor website.

4 W- m6 |( d8 ~: F( D# ?( c5 v8 ?6 w- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
: D$ `' @- k$ B5 i7 t8 N"
Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

7 \/ h/ @2 H  R+ O% o3 mIn “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
$ j( l9 ^8 F7 {. n! Y5 l% h5 q  n      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：
& p; d8 M! ^, [" V2 [9 @: Z/ O, |
1.首先，aspx是禁止上传的
' s8 o/ Z6 q! O& G2.使用%00截断（url decode），第一次上传文件名会被转成_符号



接下来，我们进行第二次上传时，奇迹就发生了


1 {- A8 V7 x! F9 D5 ^
+ \. s7 i3 N& i1 O代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html

' k  M1 I2 M2 t1 J: M% k% B

# s7 {" O: V; @' f/ [$ B6 DCKFinder/FCKEditor DoS漏洞

+ f# a3 K3 _1 R/ N( ~! U4 g! \相比上个上传bug，下面这个漏洞个人觉得更有意思
: S  P; Q7 M. d( o


& k6 D& @4 X/ u8 U1 TCKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
- @* N8 l0 S  M1 v
$ {  ]5 {+ }: O) j, G* xCKFinder ASP版本是这样处理上传文件的：

当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
" _) c2 [- q6 b* c  ~4 N5 F1 N
; X# I" z& D- P! p* }那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）

5 T. {* r, ?1 K0 W# [) H  }" Udos方法也应运而生！


5 \* e* N7 z$ X/ P$ h
0 \& [$ ~" m( a  A, f1.上传Con.pdf.txt
$ _; y, L  X4 D: D2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。