eWebEditor.asp?id=45&style=standard1 样式调用
* m. q: ~, E- O$ j+ c$ G6 R4 u8 I" N# i3 w% q2 [# ]
: r7 E" c. @1 O7 v/edit/admin_uploadfile.asp?id=14&dir=../../..
^& k( I: i3 R可以浏览网站目录 ../自己加或者减2 o3 h6 t* f" t; u
& m* D0 V# e9 H% R& L) R; ~4 b
有次无意的入侵使我发现了ewebeditor2.7.0版本的存在注入漏洞
: D2 C/ J- N1 t0 h) E6 O' c简单利用就是/ t/ @+ a7 _! `5 f' T' B) m
http://site/path/ewebeditor/ewebeditor.asp?id=article_content&style=full_v200
* {* X! i* U7 W8 D( V6 | I/ u8 p7 Dhttp://www.siqinci.com/ewebedito ... amp;style=full_v200) c% Z+ {: Q. M! @' t, P: g7 c: D3 }" ~7 ~
可以利用nbsi进行猜解，对此进行注入4 g( M1 j& B& Y- m) R
还有的时候管理员不让复制样式，但是你又看到有个样式被别人以前入侵修改了存在asa或者之类可以传shell，但是上传插入工具没有，又无法修改怎么办那？也许很多人说应该可以加工具栏，但是我就遇见过不让加的4 s" I+ Y% D$ F7 }4 y- h6 U
这样我们可以利用ewebeditor里的upload.asp文件进行本地构造进行上传具体如下：
+ F2 J8 M5 `/ t) J/ W7 z在action下面4 l7 B. ~' W3 o& H$ |
<form action="http://*********/edit/upload.asp?action=save&type=ASA&style=test" method=post name=myform enctype="multipart/form-data">
1 g9 P8 O4 k' Y1 u8 L6 n- F- t+ ?<input type=file name=uploadfile size=1 style="width:100%" onchange="originalfile.value=this.value">
$ f# M( O" Q' y0 B<input type="submit" name="uploadfile" value="提交">9 `- S! x& S' E3 s4 P2 y: G
<input type=hidden name=originalfile value="">
7 n% f, z3 e l$ @</form>" R! f: _; U+ q4 b& E4 M$ [& G
------------------------------------------------------------------------------------------------------------------------------------------------) S/ q0 s& p$ T# ]
<input type="submit" name="uploadfile" value="提交"> 放在action后头( v( ^' p0 S/ H5 Z
，适合用于在ewebeditor后台那个预览那里出来的 比如上传图片那里，有些时候上传页面弹不出来，就可以用upload.asp?action=save&type=ASA&style=test 这个本地来提交，不过这个东西还是要数据库里上传类型有ASA才可以传得上。0 E3 I* p' ?9 o2 p4 w1 k
' u4 @* D# e& z" |" u) x
" G. E" }" R7 H/ j6 G
. u% w1 |# Q9 c( b B
u0 I* _) K$ O1 A$ `! N3 ?Ewebeditor最新漏洞及漏洞大全[收集] (图)$ q [' e' d7 W7 Z& ~( c
本帖最后由 administrator 于 2009-7-7 21:24 编辑
+ u' f9 `1 R- c3 H2 R4 x- K- d* n# `$ g$ {
以下文章收集转载于网络+ @6 s- @5 p+ g- ~- ~
#主题描述# ewebeditor 3.8漏洞[php]0 f6 h4 W4 F+ z) I, G+ S: Y
--------------------------------------------------------------------------------------------- T& B3 `- @9 i/ s$ i
#内容#
+ u1 Y3 b9 @" F3 Z6 v6 d; C Hphp版ewebeditor 3.8的漏洞# K* |- i9 T1 h" U! h* n
php版本后台是调用../ewebeditor/admin/config.php,大家去看下源码就知道，在这里我说说利用方法:, G4 @! u0 L6 i
1 首先当然要找到登陆后台,默认是../eWebEditor/admin/login.php,进入后台后随便输入一个用户和密码,当然会提示出错了,必须是出错的时候，然后这时候你清空浏览器的url,然后输入 javascript:alert(document.cookie=”adminuser=”+escape(”admin”)); javascript:alert(document.cookie=”adminpass=”+escape(”admin”)); javascript:alert(document.cookie=”admindj=”+escape(”1″));后三次回车,6 t0 G2 |; y( g7 q1 B
2 然后输入正常情况才能访问的文件../ewebeditor/admin/default.php就可以进后台了
& N& H( f8 a% {1 B) D$ C3 后面的利用和asp一样,新增样式修改上传,就ok了
7 |9 A# b1 F6 T; \测试一下asp 2.8版本的,竟然一样可以用,爽,看来asp版的应该可以通杀(只测试2.8的,貌似2.8是最高版本的)
) y& t9 ?$ @0 P4 c/ J" @aspx的版本../ewebeditor/admin/upload.aspx添好本地的cer的Shell文件,在浏揽器输入javascript:lbtnUpload.click();就能得到shell
$ V6 k- U' ^+ @; v: a1 X+ j; i' f( Pjsp的上传漏洞以及那个出了N久了,由于没有上传按钮,选择好要上传的shell,直接回车就可以了; ^$ U3 ?2 ], ~+ s9 D' D1 }" G
--------------------------------------------------------------------------------------------
! B8 t D% [0 o |) G0 `* Z$ r" L
7 O! z. X- F, i7 Z" t5 V
算是比较全面的ewebeditor编辑器的漏洞收集，现在的网站大多数用的都是ewebeditor编辑器，所以ewebeditor漏洞的危害性还是相当大的，做了一下漏洞收集，漏洞修补的方法可去网上查找。
5 @% C* R3 l3 j( f1 X6 e0 M
4 @; F0 a4 n; m# a漏洞更新日期TM： 2009 2 9日 转自zake’S Blog9 m, z3 C8 g. g1 G# T
ewebeditor最新漏洞。这个程序爆漏洞一般都是直接上传的漏洞，首先在本地搭建一个ASP环境重命名一个木马名字例如：1.gif.asp这样的就OK了
5 k, n0 o. _( a" T. A那么接下来完美本地搭建一个环境你可以用WEB小工具搭建一个，目的就是让远程上传。/pic/3/a2009-6-4-7341a1.gif.asp搭建好了 ，在官方的地方执行网络地址3 M) [& X7 h5 b! U* `
2 g* H! a* {. n$ U9 s
5 B6 a' Q5 O4 h4 R' b
然后确定以后，这里是最关键的一部！: ]% M8 `) s2 w) n
这里点了远程上传以后，再提交得到木马地址
4 m& L+ v* A m& E2 V由于官方在图片目录做了限制 导致不能执行ASP脚本而没能拿到WEB权限
( k) A# N7 g4 B4 T# v" q+ l: C# `属于安全检测漏洞版本ewebeditor v6.0.0
4 X' T) X$ g- a1 }2 g0 w8 G `9 M! h5 t' _
以前的ewebeditor漏洞：
& M5 D/ k/ Y- K3 M- `7 F) m
: S5 ]8 U( L5 f% Bewebeditor注入漏洞, X/ t/ K$ z- e
* @ Y0 H W* s大家都知道ewebeditor编辑器默认的数据库路径db/ewebeditor.mdb4 e$ m% ]4 e, d
默认后台地址是admin_login.asp，另外存在遍历目录漏洞，如果是asp后缀的数据库还可以写入一句话
4 C/ n3 j: H1 S0 t# L1 V今天我给大家带来的也是ewebeditor编辑器的入侵方法4 S) [6 @4 K$ P# q- j" W3 E4 G7 ]
不过一种是注入，一种是利用upload.asp文件，本地构造) z& g+ e% a/ S% f' l$ I
NO1：注入! S7 H! k b& S( [2 v
http://www.XXX.com/ewebeditor200 ... amp;style=full_v200# V1 R% k) x3 C/ L9 p
编辑器ewebedior7以前版本通通存在注入3 X% l) g! C! u1 F; J' x' j
直接检测不行的，要写入特征字符9 \# Y5 c; W$ K. W, [& J
我们的工具是不知道ewebeditor的表名的还有列名
) G9 F' C' F5 o. l4 i0 H! _( U我们自己去看看) P P/ j N9 `& r6 ]+ e) m
哎。。先表吧1 |+ ~! P `6 R% U5 y3 d
要先添加进库1 V6 Z0 t# }( X
开始猜账号密码了$ G' i; M. m2 E9 S
我们==. y7 j, }5 T" n3 E1 N- Y
心急的往后拉
- X, L" \" o' `% d出来了
9 h F% d9 B2 D[sys_username]:bfb18022a99849f5 chaoup[sys_userpass]:0ed08394302f7d5d 851120
) w2 K# J3 [% V, U对吧^_^# {- l: r& c- S- e; _
后面不说了$ o6 N" e+ W a- S. f( Q% K$ v
NO2：利用upload.asp文件，本地构造上传shell
( W9 h, b8 D. z$ D* A, K大家看这里' {, N8 ^0 D6 s9 y, O; n' f
http://www.siqinci.com/ewebedito ... lepreview&id=37
h1 R% G' D4 Y6 [' J' R/ p8 g如果遇见这样的情况又无法添加工具栏是不是很郁闷% K5 ]5 }( q. o. X# z
现在不郁闷了，^_^源源不一般
5 Y3 o9 J O& w V$ Z+ [8 d% n我们记录下他的样式名“aaa”# [& W+ S9 j" m! Y7 C# t8 p
我已经吧upload.asp文件拿出来了
( x, M; ?+ G0 s7 ^1 C( @+ `; y8 `我们构造下0 ]5 B2 m2 `; Q; s9 k8 m' t ~
OK，我之前已经构造好了7 j4 c: V1 F6 v* X U. Q
其实就是这里
& r: C, ^. x/ x, G7 z; L/ Z<form action=”地址/path/upload.asp?action=save&type=&style=样式名” method=post name=myform enctype=”multipart/form-data”>
' ? r t0 R2 ~, S$ r<input type=file name=uploadfile size=1 style=”width:100%”>
$ A* p6 I- R0 B9 Y<input type=submit value=”上传了”></input>/ [% s% @/ N! ]% F @
</form>- q. ^4 z& g0 N8 Y' [! Z& [+ W
下面我们运行他上传个大马算了
7 c+ ~. j1 Q0 W' H6 A+ oUploadFile上传进去的在这个目录下
0 T2 E( f# O. }, ^- F& [2008102018020762.asa
' i" s* F: i% `" J/ L, Q) L% S0 P5 K5 ^$ |! a: @' H* Q$ f, j0 W
过往漏洞:
- d( E3 n$ R) Q+ L3 U: j
* g! N0 N* w5 e4 m; s+ t首先介绍编辑器的一些默认特征:
6 `5 z1 `% n N' A默认登陆admin_login.asp
! G5 D4 F- w! d" E* z默认数据库db/ewebeditor.mdb# u+ S0 v) S) n4 f% ?
默认帐号admin 密码admin或admin888
) S. P$ A: M/ O3 ^' Q, V& y搜索关键字:”inurl:ewebeditor” 关键字十分重要. H& f$ E% q# u3 ]0 M' D$ k
有人搜索”eWebEditor - eWebSoft在线编辑器”7 g8 W1 j% i3 ^+ b
根本搜索不到几个~
; M* \/ { z8 ?+ _% m- C9 Ybaidu.google搜索inurl:ewebeditor8 |$ W; W0 A: p% _$ q! y4 }
几万的站起码有几千个是具有默认特征的~+ U: c5 ?5 G* x5 O3 C0 ~1 y
那么试一下默认后台' w: g- }6 w; K7 }1 A
http://www.xxx.com.cn/admin/ewebeditor/admin_login.asp
# j0 S9 T3 Z. ?: p/ ~. ]8 l' K1 F- l试默认帐号密码登陆。
, i( V& B: Z- U& \$ F* w利用eWebEditor获得WebShell的步骤大致如下：
1 O0 s5 S- x- J# j1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。3 W. s) P! R' \8 V* C/ r [" \
2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID=’eWebEditor1′ src=’/edit/ewebeditor.asp?id=content&style=web’ frameborder=0 scrolling=no width=’550′ HEIGHT=’350′></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src=’***’中的“***”，这就是eWebEditor路径。5 k8 i$ v/ M( }5 t& E3 I1 ]1 K# E
3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。
2 I% N. \) X, m3 f. o3 J如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！& \) E( D w1 V+ t$ I
4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。 e# _, H7 D2 e6 K5 l( r5 M
然后在上传的文件类型中增加“asa”类型。$ h3 B' z% ]) J+ g' e$ n
5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。
" S. v& q8 k) o2 C3 U0 ?5 J% O漏洞原理" s% D- M: A$ \& g
漏洞的利用原理很简单，请看Upload.asp文件：
7 [( y2 E! c. x! J& Y任何情况下都不允许上传asp脚本文件
: ^' Z( W3 |" S* U( D4 GsAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)
: B9 e, g) Z! }4 P0 p- M" |/ l因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！9 d6 u/ o+ j9 ?8 ]- I
高级应用
: [8 s1 t @! `: I) r' r' ~4 w2 \0 DeWebEditor的漏洞利用还有一些技巧： w4 z* M0 T9 C
1．使用默认用户名和密码无法登录。
3 u9 D6 f8 N. j4 R( |请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法破解，那就当自己的运气不好了。1 q3 e4 N) |) g9 l& Z2 N" k! [
2．加了asa类型后发现还是无法上传。5 I$ K3 k+ q$ N9 i/ P8 P0 y
应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)一句上修改，我就看见过一个站长是这样修改的：
& M0 M% D7 h0 @" z' Z) HsAllowExt = Replace(Replace(Replace(Replace(Replace(UCase(sAllowExt), “ASP”, “”), “CER”, “”), “ASA”, “”), “CDX”, “”), “HTR”, “”)
5 ]! N- L$ |0 f, N: E' M猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。
" t9 `. Z, j5 s! ]3 Q- e+ l3．上传了asp文件后，却发现该目录没有运行脚本的权限。/ n" X7 Y% I. Z% J3 B4 i+ X% u
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。4 f$ u) [6 a N" c+ y) q
4．已经使用了第2点中的方法，但是asp类型还是无法上传。$ \. Q$ m' Z$ w# Z2 x/ k; H" U9 \) I
看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。
7 a2 [" a* C$ k; K9 B+ [后记# B6 q* K% W0 J$ ~* j6 Z
根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！
0 t# @1 J) k0 k7 E+ K) b2 y, H基本入侵基础漏洞3 V. H1 D& r7 y4 C8 {
eWebEditor 漏洞
: q; z% v* B5 q9 s2 l3 B9 ^2 H+ a4 }% ]/ A. s P* H$ U: b0 i
各位站长在使用eWebEditor的时候是否发现，eWebEditor配置不当会使其成为网站中的隐形炸弹呢？第一次发现这漏洞源于去年的一次入侵，在山穷水尽的时候发现了eWebEditor，于是很简单就获得了WebShell。后来又有好几次利用eWebEditor进行入侵的成功经历，这才想起应该写一篇文章和大家共享一下，同时也请广大已经使用了eWebEditor的站长赶紧检查一下自己的站点。要不然，下一个被黑的就是你哦！ / M9 `, U. ^4 \; w) U; E: E P1 O( P
1 @1 t1 V2 H; P: `7 Y+ {/ r9 J漏洞利用
# J2 c- K% V: [% C利用eWebEditor获得WebShell的步骤大致如下：9 N+ t! `$ D( b; c
1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。% g" `$ d3 s) V6 s" A5 E- d
2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID='eWebEditor1' src='/edit/ewebeditor.asp?id=content&style=web' frameborder=0 scrolling=no width='550' HEIGHT='350'></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src='***'中的“***”，这就是eWebEditor路径。
, L5 ~4 A+ y; Z' B& d3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。
! }2 h% v0 {# e$ ]0 p% I% g如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！
6 c; C# ^: r0 E: F2 ~4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。
; X3 ^6 {. [# ?! {5 y8 j& `; \8 l& V
然后在上传的文件类型中增加“asa”类型。
1 U# |# H6 F9 x
# [# d- W( M3 n6 D6 g& N6 }5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。
5 |+ i/ N9 k7 B
4 w4 G j: T% N& Z0 p% d6 x5 I
7 G' f, s* F) O0 g漏洞原理) P; d, ~( g; b! E
漏洞的利用原理很简单，请看Upload.asp文件：
\7 M. w9 y5 U) o( W任何情况下都不允许上传asp脚本文件9 q9 G7 U6 O' `2 Z4 x
sAllowExt = replace(UCase(sAllowExt), "ASP", "")
* w4 ^, F6 \) U因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！
* c( z8 l# d) M( J5 S: q
& ?) J9 Z' X" W) Q6 ^( ^5 R高级应用
. z* p5 N( U' q# O3 }2 ~1 k" Z% GeWebEditor的漏洞利用还有一些技巧：
1 B+ F& |: C+ D9 e1．使用默认用户名和密码无法登录。
: G' \. x& c# T, C/ ^+ o* V请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法****，那就当自己的运气不好了。3 @8 N k9 H* N; H& r
2．加了asa类型后发现还是无法上传。
2 m; O& h% S7 d& ^; _; F* R5 H& h应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = replace(UCase(sAllowExt), "ASP", "")一句上修改，我就看见过一个站长是这样修改的：9 B( ^& }5 i, t8 X
sAllowExt = replace(replace(replace(replace(replace(UCase(sAllowExt), "ASP", ""), "CER", ""), "ASA", ""), "CDX", ""), "HTR", "")
# t+ q. H+ x- k8 E9 t0 l猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。
( N0 E) A6 d) n: T3．上传了asp文件后，却发现该目录没有运行脚本的权限。5 N5 s0 N1 G. W. X5 v, K
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。- ^, M( O! t) ]$ M( c" j, n
4．已经使用了第2点中的方法，但是asp类型还是无法上传。
% k0 h$ w, @& a看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。
4 T! J- z$ R% w# J! T$ S! t" N% @/ j5 w; y" e5 `: B
后记, b& b8 l! P6 j
根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！ |
发表于 2012-9-13 17:00:58
收藏
支持
反对