FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文

原帖：http://club.freebuf.com/?/question/129#reply12

FCKEditor 2.6.8文件上传漏洞
8 J# G  N7 S6 |7 u4 Z/ s9 B$ ^
Exploit-db上原文如下：

- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
$ F: ]4 n2 Q& u4 \- P- K- Credit goes to: Mostafa Azizi, Soroush Dalili
- \; P* m+ L) p2 a/ i7 ~( e9 g- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
7 i  q8 f" R' P" F7 s& }- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
- A/ U/ G/ A( h2 Rdealing with the duplicate files. As a result, it is possible to bypass
the protection and upload a file with any extension.
* N* b+ j+ s' @3 c1 Z' c6 F- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.

- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
"
9 @# Z. ?/ _( r* `6 U$ KNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

In “config.asp”, wherever you have:
  T' M( g( v7 T- ~& D      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：
8 A8 a7 @, ~  U  P
1.首先，aspx是禁止上传的
2.使用%00截断（url decode），第一次上传文件名会被转成_符号


2 y* w) {. W2 U7 ]  V: r8 G
接下来，我们进行第二次上传时，奇迹就发生了
( j, \* ~$ K7 N' Z/ n/ R
" A7 ]- ?! q1 J" i* k  Z

代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html

4 M9 m9 q% L# J  w' F

CKFinder/FCKEditor DoS漏洞
8 ^2 [( a+ s' ^& i
相比上个上传bug，下面这个漏洞个人觉得更有意思
1 [$ `8 y' u+ O0 D: O* T' T* N0 f
$ i9 F5 C( [$ L8 M: T9 G# d3 W4 \
$ C9 B4 O) S9 [) ~1 b
CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。

CKFinder ASP版本是这样处理上传文件的：
7 N8 _% ^; E& {, a* m+ |
当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
4 O0 U/ u8 |+ C" X2 F; `; L
+ |, z  z# m& u# p8 `- n* U  Y那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）

dos方法也应运而生！

7 P# X. S6 Q. m# p2 H

9 E9 E' C0 i2 L4 c/ |1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。

" H' Q( z7 }5 L' H1 ?; p8 U