FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文

+ o0 e3 k: y8 O; D* J4 U* b原帖：http://club.freebuf.com/?/question/129#reply12

FCKEditor 2.6.8文件上传漏洞
6 d1 w6 j; d9 g& C7 z* Q! q
& t5 \  r8 }7 t$ |% i) rExploit-db上原文如下：

6 Y2 j) y# G2 z  M- r- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
( K5 t1 d3 S9 K4 g! R- Credit goes to: Mostafa Azizi, Soroush Dalili
- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
# f: U. a4 c$ @, ?9 b( }* ~- Description:
+ F4 C) D: h/ A+ A, Q. jThere is no validation on the extensions when FCKEditor 2.6.8 ASP version is
dealing with the duplicate files. As a result, it is possible to bypass
, D7 e( W+ l8 u( J5 ]: X# Nthe protection and upload a file with any extension.
* H8 C! O' E" X; z- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.
' ~2 E( @( T% ~! E, b% L
4 \9 D0 u0 ^+ P+ e( F- m- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
; t5 Z  O) J4 D: c3 E"
2 c3 M) y# @! [& p; m1 oNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:
1 _& F% D1 y- K' e- ~* ~
: F5 y. j" @, z0 y/ g$ Q! v) I/ WIn “config.asp”, wherever you have:
3 _2 E  q* i: r% {# B' q      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
/ W1 L' v& {( K# G: {      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
* H  J/ e* y- R; ~* t2.使用%00截断（url decode），第一次上传文件名会被转成_符号
2 Z1 F7 l) o% [1 e# `* r  a
% u$ Y9 M% U0 J" \9 ~" u
/ z) O$ y  g3 ?) z9 K/ N: M- E" [
4 Z; B8 U7 @: E2 X2 U接下来，我们进行第二次上传时，奇迹就发生了



代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
2 G+ w0 \+ w9 L7 J; J8 G


" m* }1 p# U; n3 t1 H5 J& N  _, J1 jCKFinder/FCKEditor DoS漏洞

0 ?" K0 G2 f4 ~9 }" w0 E- p# o相比上个上传bug，下面这个漏洞个人觉得更有意思
1 a8 R0 T) O' ]  }7 W( M7 f
# E% H: Y4 n5 M( ~

CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。

$ Q, u# n3 t; c) Y; d9 ~9 OCKFinder ASP版本是这样处理上传文件的：

当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。

. k$ S* p" z, M( j+ ~$ ~( P8 b那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）

dos方法也应运而生！
; V  }/ f$ C1 I
1 C' F8 D6 ?# O9 c! D! Y
) w- B/ j; v; ?4 C1 _
1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。