FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文
& R8 g4 e8 S0 W4 t
原帖：http://club.freebuf.com/?/question/129#reply12

FCKEditor 2.6.8文件上传漏洞
4 P; F2 {. V0 K# S
, A( w1 P6 [8 S+ n9 MExploit-db上原文如下：
; h% M# V: E, e# \
" Z) [9 q6 k7 g0 U- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
- Credit goes to: Mostafa Azizi, Soroush Dalili
7 ^2 n6 \3 k. |0 K- V7 n1 e- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
- Description:
( O7 s) o3 }* j7 @; zThere is no validation on the extensions when FCKEditor 2.6.8 ASP version is
dealing with the duplicate files. As a result, it is possible to bypass
, U7 T' |4 q9 |5 |the protection and upload a file with any extension.
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
/ A# R/ H- [4 {! \- Solution: Please check the provided reference or the vendor website.
' @4 s6 x9 {7 b  w4 g' p" f, m
- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
"
: i+ u2 c; o* R- G9 f9 hNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:
6 @9 A8 W/ {8 E
' M! F# |, o/ M% T% q6 J0 [% LIn “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：
! {, |& Q; x: E7 C0 Z
1.首先，aspx是禁止上传的
2.使用%00截断（url decode），第一次上传文件名会被转成_符号
7 V) p, }' A& ]1 {: c; p' P

0 ]! p7 r) e) ]+ D
接下来，我们进行第二次上传时，奇迹就发生了
5 r0 ~! B+ E$ M/ G

: l, v5 |9 c7 C7 |2 r
7 i& _: ]! f+ H* U代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html



# t% U* x. \( y4 _1 fCKFinder/FCKEditor DoS漏洞

7 \2 A- v! J# M$ l相比上个上传bug，下面这个漏洞个人觉得更有意思

6 ~' X- y0 z$ T7 }# }

CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
! c' }0 U) J- R" R0 [! P2 l8 e
CKFinder ASP版本是这样处理上传文件的：
( T; [7 _# ]" }% n4 O" \
当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
4 k2 O8 q$ G' O  _
" T! {4 g. p( G1 N$ @' w3 m$ V4 s# S那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）
' |3 m1 q' j( K
/ }: H" f6 p+ i8 `9 R. bdos方法也应运而生！


3 t6 O+ F* ]+ C  W) `; _
1.上传Con.pdf.txt
  l2 |% P& q: j2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
2 c' w$ N, y( c8 y& k/ F# f; c
# e3 U  C) _  H3 p6 n" T