FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文
( ?: f& \* P/ |5 ?! y
原帖：http://club.freebuf.com/?/question/129#reply12
6 Z* W1 U1 S. K( ^5 ~+ C
FCKEditor 2.6.8文件上传漏洞
( U! p! x/ f" ?
Exploit-db上原文如下：
% ^; z$ u! h* J0 T
! U4 C" R! k% \- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
- Credit goes to: Mostafa Azizi, Soroush Dalili
- u4 L2 P  `, O/ M! }- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
* v# {- e* }3 d7 C( S9 {$ r2 Idealing with the duplicate files. As a result, it is possible to bypass
8 z5 v! l: ]% h, P! W! G, ?the protection and upload a file with any extension.
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
) i/ _- r  A7 ]$ N$ R, ?/ G3 p- Solution: Please check the provided reference or the vendor website.

- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
"
Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

) d- ?  ~* b  ~! k4 ^2 j) K. aIn “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
# ~. v3 P8 |: e  e: zChange it to:
1 `- V5 x' [, l- ^1 X( U      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1 e6 K& D. {: E; Z' p1.首先，aspx是禁止上传的
2.使用%00截断（url decode），第一次上传文件名会被转成_符号
# K. }1 o( y4 n* G


接下来，我们进行第二次上传时，奇迹就发生了



代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
; h! ?: u- O% I! s7 c
7 G$ W$ c  ^; z) [- l# H- E
, t# D4 ~$ K( z5 I. ^) i' L& Z  m
# q" c- I: j# R; fCKFinder/FCKEditor DoS漏洞

相比上个上传bug，下面这个漏洞个人觉得更有意思
5 B4 c3 a% z. R

9 X# a2 y0 _+ P/ a" p
CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
$ H9 v5 m4 L: X* ?9 Y1 v( h* Q4 Q
CKFinder ASP版本是这样处理上传文件的：

  ?# l$ Y' F, i当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。

' D. D  K1 v, P4 _/ d那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）

. p# A# t' u- T3 _/ d3 g* rdos方法也应运而生！
% }! c2 ^3 ^+ y) [7 B3 l" ~& ^' E
- @; y3 v# ?$ p4 A8 ]6 g
% f$ e" z  i% f3 B& X$ p
1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
+ y# w. V" t6 w$ L4 M" m* Z  w