找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2493|回复: 0
打印 上一主题 下一主题

FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-10 10:20:31 | 只看该作者 回帖奖励 |正序浏览 |阅读模式
感谢生生不息在freebuf社区”分享团”里给出线索,才有了本文% c4 S3 |5 }: v7 G5 M# `$ q+ R

, j# n* X$ L) U- U% a原帖:http://club.freebuf.com/?/question/129#reply12
1 l: z, i4 D' o4 z7 u- e! M- J" E3 T' k+ W  e  v4 ?
FCKEditor 2.6.8文件上传漏洞
5 V& v' d9 n* u* X5 h# D8 U
7 T& Y# ]  V6 p3 \4 {, xExploit-db上原文如下:! m% i/ J. I. t2 k! q0 S* z

- j) m# F4 ^: G* R7 [) Q6 Q6 r- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
5 R8 ?3 U( k# \- Credit goes to: Mostafa Azizi, Soroush Dalili
, @2 A) w5 f: x5 P4 h8 q- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
/ m' E  Z9 @- z, `- Description:" ^! W- r* g: F( [, V
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
" w; q& T" s, g- |4 A, u( e7 rdealing with the duplicate files. As a result, it is possible to bypass5 ~, E' o9 [5 \! A. g+ _
the protection and upload a file with any extension.5 X7 H2 e2 e1 M
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/2 X% }$ C4 H, l0 ~/ V0 D" n
- Solution: Please check the provided reference or the vendor website.: ]- B, H* g: Z3 f; x/ L* {
1 b( q% G1 d9 A7 _0 V$ h
- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
+ a/ F/ U4 q7 o2 Z"
6 P# f5 C+ t1 u* Q, m  A! vNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:- G3 f8 ~8 S/ g( \% {1 J8 o
' a* x) [% A+ |) z/ K/ L
In “config.asp”, wherever you have:
! g5 K  @; Z8 F- j5 o      ConfigAllowedExtensions.Add    “File”,”Extensions Here”; r6 y7 Y3 H8 _3 z
Change it to:
- P, b( m: k; m% Y      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频(需翻墙)里,我们可以看的很清楚:
; }% W( z2 e2 J5 {+ `3 G2 d8 \
3 v% c* j& v0 N" ~( q3 P1.首先,aspx是禁止上传的4 \$ m- P% C: K& l0 K2 p3 D
2.使用%00截断(url decode),第一次上传文件名会被转成_符号; c) n3 j& I) R* z$ M/ c" G, j( O& r

* Z1 I: C) z  g: C/ V5 I1 N- S9 n: _/ l1 F% x% e4 g
' K- w$ D. ?# P* v
接下来,我们进行第二次上传时,奇迹就发生了3 x; J2 W+ _* M  L4 Z+ ^" `) X0 Y

$ @+ p, T! l7 ~4 ?: E) N2 G3 E* {3 P7 D# }' {& Q1 r6 \+ q

) H8 R( c1 I5 ^9 a代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
0 C3 E% U0 y9 s' R5 ^0 Z
+ s" D+ L- I1 |" _& G
; @' K3 V/ j' J5 c9 N9 m
  w1 x, j/ p+ W3 ACKFinder/FCKEditor DoS漏洞/ ]1 Q1 V+ j% _/ B. `
. `; M* B5 f1 @8 d4 x/ c
相比上个上传bug,下面这个漏洞个人觉得更有意思
6 I6 z: \6 C; D- l
. _) J4 v! V: ?) E
# D/ S9 G9 P. s$ l4 \8 c  F/ N) X) Y6 P1 s, l  a) s& O
CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观,快速学习的各类用户,从高级人才到互联网初学者。
' T( [* I+ R6 @$ s) V# I
. C/ \% V8 t/ DCKFinder ASP版本是这样处理上传文件的:- a, \/ c" P! N) a& v, D

% F, [4 G5 N2 k当上传文件名已存在时,会进行迭代重命名,比如file(1).ext存在了,会尝试重命名为file(2).ext……直到不重复为止。# l! p  h1 j2 Z6 R3 c- V0 j

2 X/ R. ^7 j/ L& t; ]那么现在有趣的事情来了——windows是禁止”con”作为文件名的(关于这个问题我印象中很久以前,win也有过con文件名漏洞,有兴趣可以确认下)5 Q: i& x3 i$ r

0 k9 U. ^+ x6 j0 `5 O. H4 V5 Vdos方法也应运而生!
& g* R5 X8 t4 d4 G9 l0 c6 O  X3 [
3 ~% I  y$ Y8 M; ^/ f & e5 X% R* A" Q& Q  ?4 l: g
" }9 t; _# L6 F, d( R$ _" ~+ P0 e  b
1.上传Con.pdf.txt
1 J- _! ]9 s% k2.CKFinder认为“Con.pdf.txt” 已被占用,于是开始尝试Con.pdf(1).txt,Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。, t7 X9 }. T- o3 a# ~) U: ~

+ `, N- R' K) f
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表