中国网络渗透测试联盟

标题: Ewebeditor漏洞2 [打印本页]
作者: admin    时间: 2012-9-13 17:00
标题: Ewebeditor漏洞2
eWebEditor.asp?id=45&style=standard1 样式调用
3 \$ T( k7 I+ R* j* }) W3 y5 X8 b, k; {& N$ U0 }0 ]
) ~+ l3 b# l4 Z+ |9 [6 V
/edit/admin_uploadfile.asp?id=14&dir=../../..# u% S4 Z% S* e. C" M  W  h
可以浏览网站目录  ../自己加或者减
2 ?; t/ _, n# p2 {" A5 Q, m
8 A, {7 g- ]4 b& c( O+ G有次无意的入侵使我发现了ewebeditor2.7.0版本的存在注入漏洞  A7 r$ n1 V/ ?( i5 {3 z
简单利用就是
: v! g3 o" K7 k0 `% B$ E2 Hhttp://site/path/ewebeditor/ewebeditor.asp?id=article_content&style=full_v200
8 D0 B" p. F  |  C, Jhttp://www.siqinci.com/ewebedito ... amp;style=full_v200) x  X2 Y) C  u- J1 A% H
可以利用nbsi进行猜解，对此进行注入
/ t8 E3 T; ]- K, c$ i还有的时候管理员不让复制样式，但是你又看到有个样式被别人以前入侵修改了存在asa或者之类可以传shell，但是上传插入工具没有，又无法修改怎么办那？也许很多人说应该可以加工具栏，但是我就遇见过不让加的
! }8 o! z4 T- j1 \6 G这样我们可以利用ewebeditor里的upload.asp文件进行本地构造进行上传具体如下：6 [0 E  ]7 Z' y0 @; e6 D+ l
在action下面8 P3 y% i% r5 h2 ]6 z1 J
<form action="http://*********/edit/upload.asp?action=save&type=ASA&style=test" method=post name=myform enctype="multipart/form-data">
" h" y( T% ?4 s8 w0 k% C8 `3 K<input type=file name=uploadfile size=1 style="width:100%" onchange="originalfile.value=this.value">
4 L. H4 f, x; @0 P" M$ r<input type="submit" name="uploadfile" value="提交">
" k0 ?& G% k* D; N$ I3 d+ A<input type=hidden name=originalfile value="">% A1 V  _2 k% `: s! u7 B
</form>3 m. R1 ^4 @0 N' z9 r
------------------------------------------------------------------------------------------------------------------------------------------------
( U5 C  P- [; g<input type="submit" name="uploadfile" value="提交">    放在action后头5 E+ H0 e2 _+ `, {8 l  t
，适合用于在ewebeditor后台那个预览那里出来的 比如上传图片那里，有些时候上传页面弹不出来，就可以用upload.asp?action=save&type=ASA&style=test 这个本地来提交，不过这个东西还是要数据库里上传类型有ASA才可以传得上。
2 b8 `! N7 I. u& I5 f6 {, V) i
7 P/ c. A& p8 P3 F% Q( n: v, u# I, L9 q, O- v1 |2 x& f3 R) t
, _% p/ ~/ n5 `) j
, K  @7 _. M! b& o# x
Ewebeditor最新漏洞及漏洞大全[收集] (图)) u; S3 M2 \1 M, h- J& j
本帖最后由 administrator 于 2009-7-7 21:24 编辑
; K" ^  x& w2 G" O* h3 p" `, N* c6 O$ c( D( q' E8 m/ B
以下文章收集转载于网络. u. t$ l: a. u# X0 R
#主题描述# ewebeditor 3.8漏洞[php]8 U+ U. f& e5 F( s5 i" o/ M% G9 v- j
--------------------------------------------------------------------------------------------" ~  H& v/ ~, m, P' [5 G+ ]/ w; f5 k
#内容#
: m3 |9 V. ^6 I7 K1 D' {php版ewebeditor 3.8的漏洞
, n3 z! [8 }8 s* Kphp版本后台是调用../ewebeditor/admin/config.php,大家去看下源码就知道，在这里我说说利用方法:$ }) `5 [# ]* N1 X
1 首先当然要找到登陆后台,默认是../eWebEditor/admin/login.php,进入后台后随便输入一个用户和密码,当然会提示出错了,必须是出错的时候，然后这时候你清空浏览器的url,然后输入 javascript:alert(document.cookie=”adminuser=”+escape(”admin”)); javascript:alert(document.cookie=”adminpass=”+escape(”admin”)); javascript:alert(document.cookie=”admindj=”+escape(”1″));后三次回车,
: z. N5 p3 a& Y; J% H2 然后输入正常情况才能访问的文件../ewebeditor/admin/default.php就可以进后台了
) H- C8 J% l1 R3 后面的利用和asp一样,新增样式修改上传,就ok了
2 N* v3 u& G! I" C7 J* \% R$ x) g! l( K测试一下asp 2.8版本的,竟然一样可以用,爽,看来asp版的应该可以通杀(只测试2.8的,貌似2.8是最高版本的)$ {; w( Q6 E7 @
aspx的版本../ewebeditor/admin/upload.aspx添好本地的cer的Shell文件,在浏揽器输入javascript:lbtnUpload.click();就能得到shell
* o0 n7 f7 s+ ^% W  f) Njsp的上传漏洞以及那个出了N久了,由于没有上传按钮,选择好要上传的shell,直接回车就可以了# r' P8 L' n7 \1 W1 t, |
--------------------------------------------------------------------------------------------
0 L* O0 `( |1 g7 t& F6 o4 R' X2 T. q0 M& B. ^
2 S% \' N1 m. e% z9 m4 W9 H
算是比较全面的ewebeditor编辑器的漏洞收集，现在的网站大多数用的都是ewebeditor编辑器，所以ewebeditor漏洞的危害性还是相当大的，做了一下漏洞收集，漏洞修补的方法可去网上查找。
" B3 N4 k& ~3 j6 c4 O% t/ w! O( U$ G' R& |' [
漏洞更新日期TM： 2009 2 9日 转自zake’S Blog
; b+ |. D. p' t# c  j1 U$ Q        ewebeditor最新漏洞。这个程序爆漏洞一般都是直接上传的漏洞，首先在本地搭建一个ASP环境重命名一个木马名字例如：1.gif.asp这样的就OK了) {  n4 K( o8 y. U4 h* r
那么接下来完美本地搭建一个环境你可以用WEB小工具搭建一个，目的就是让远程上传。/pic/3/a2009-6-4-7341a1.gif.asp搭建好了 ，在官方的地方执行网络地址3 p0 k0 W; O+ J) a& h0 _

% x. k' G1 s" v# v- C9 O6 N: Y! |* h8 e; R3 m; I4 |4 Q
然后确定以后，这里是最关键的一部！
. R1 ]! d! A. n这里点了远程上传以后，再提交得到木马地址' g9 ?& y0 Y/ B9 L
由于官方在图片目录做了限制 导致不能执行ASP脚本而没能拿到WEB权限
" ~' z5 W9 W* O; I7 z3 P3 _1 B3 W1 z属于安全检测漏洞版本ewebeditor v6.0.0: t* g) p% d" ~3 D

  y( |$ I$ _& }+ g2 b以前的ewebeditor漏洞：* o; ^. G( s! S! G( b' V, J! }
4 K  `! Q$ a8 E% r# Z( r; U
ewebeditor注入漏洞
& M3 E9 y2 ^$ A9 B& S( X) A, R8 E# j, w" ]
大家都知道ewebeditor编辑器默认的数据库路径db/ewebeditor.mdb
9 ]* f- y6 g- `# z! y默认后台地址是admin_login.asp，另外存在遍历目录漏洞，如果是asp后缀的数据库还可以写入一句话1 d1 s! {  J3 X  D% C- f
今天我给大家带来的也是ewebeditor编辑器的入侵方法
7 V6 p7 i8 d, N2 s不过一种是注入，一种是利用upload.asp文件，本地构造
4 U& Z/ U4 e% s  FNO1：注入
3 ^, y9 O; j' G- L- khttp://www.XXX.com/ewebeditor200 ... amp;style=full_v200
0 ~, G9 r* P! H. x* J编辑器ewebedior7以前版本通通存在注入
' I2 l, r' J3 k) @直接检测不行的，要写入特征字符
& F6 d- k/ g& @; c/ S) V7 m我们的工具是不知道ewebeditor的表名的还有列名# I6 m+ E+ E; y+ m6 ?! l. M
我们自己去看看' C/ W5 G# B8 T
哎。。先表吧5 g' [" d. k. O3 \7 Z$ O
要先添加进库4 G, {; V+ ^0 d" J' z1 g
开始猜账号密码了
- v; b0 ~0 D1 m' Z4 w5 B我们==
$ y9 ~' _7 o$ l3 T! c心急的往后拉
) b5 X9 s7 S. z$ Q6 n2 ?. T- t出来了
' ~7 C! v3 A: u% b  O[sys_username]:bfb18022a99849f5 chaoup[sys_userpass]:0ed08394302f7d5d 851120
+ `0 y# y' _# D5 V3 @4 _7 G5 ^' v对吧^_^6 Y1 ?- H  [) n# M+ }
后面不说了
/ L( a; m/ F4 g$ d6 ^NO2：利用upload.asp文件，本地构造上传shell
" |& |+ h9 x* J- B  x大家看这里
. y& K$ B5 i  E' O6 Q. G0 vhttp://www.siqinci.com/ewebedito ... lepreview&id=377 m  q" p8 i4 W% m3 Z, `$ E5 f' l
如果遇见这样的情况又无法添加工具栏是不是很郁闷
9 v) g; f- s& j" Y) t0 Y现在不郁闷了，^_^源源不一般
* B: W1 B) I- X我们记录下他的样式名“aaa”
; z* t5 `0 k3 e# q6 {我已经吧upload.asp文件拿出来了
1 [9 C4 H9 G) [$ @% I' E我们构造下
% k  H, J1 G& _/ X) h* sOK，我之前已经构造好了
0 K* P  v8 i1 _0 d其实就是这里$ h- ]5 _* L, \1 e4 F, t
<form action=”地址/path/upload.asp?action=save&type=&style=样式名” method=post name=myform enctype=”multipart/form-data”>) ~' q$ F" [, `$ o( c. ~
<input type=file name=uploadfile size=1 style=”width:100%”>
$ ]; D$ K  |* {; g* D<input type=submit value=”上传了”></input>
7 X$ c9 r$ s& h. _</form>, v; x3 U9 i; a+ a4 j! y
下面我们运行他上传个大马算了) Z+ f8 M# d2 s, \% G- i# z# n+ V
UploadFile上传进去的在这个目录下
+ |. X/ `6 M" p7 ~# I4 \/ b5 p6 ~2008102018020762.asa
, I0 c( @2 c  I3 F, w
& D4 u% P& `( d2 g) |, q# X过往漏洞:6 {8 G! C# w0 }

2 N  E# |6 p9 m: C. b& X首先介绍编辑器的一些默认特征:
, H, G9 Y  ]% b  h$ a- }" c  a3 Q默认登陆admin_login.asp5 {: a9 n8 }1 _1 f
默认数据库db/ewebeditor.mdb  H8 l) J0 z2 X
默认帐号admin 密码admin或admin888' o, n2 B! ?" F$ b: d5 a
搜索关键字:”inurl:ewebeditor” 关键字十分重要6 H: J& Y1 Y3 _& {& M/ l
有人搜索”eWebEditor - eWebSoft在线编辑器”9 s  }7 N- x% {8 d$ f2 t; q
根本搜索不到几个~
7 y7 W% {+ {+ j9 A& `baidu.google搜索inurl:ewebeditor
9 U6 q3 y- B: B  Y9 _几万的站起码有几千个是具有默认特征的~: a; T: B: V8 N: }
那么试一下默认后台
4 }7 ?. a( N& @! z# s1 E/ uhttp://www.xxx.com.cn/admin/ewebeditor/admin_login.asp) `. \6 y; K: Y- K, i# W6 e
试默认帐号密码登陆。
/ d& f+ O! K/ d/ S9 _利用eWebEditor获得WebShell的步骤大致如下：9 F* @, o7 \% d, o$ `5 n  i8 u: [
1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。
5 ]& Q  y: _/ c2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID=’eWebEditor1′ src=’/edit/ewebeditor.asp?id=content&style=web’ frameborder=0 scrolling=no width=’550′ HEIGHT=’350′></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src=’***’中的“***”，这就是eWebEditor路径。
, L, w& a( Y) J3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。. d! V! ?# k1 d$ `  o" X
如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！
8 g; f9 W3 L; P, N; i7 l4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。+ Z/ M6 i0 m0 J6 W# z+ @
然后在上传的文件类型中增加“asa”类型。
3 y8 }/ t8 u. }0 C  d5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。
1 E8 q! r8 i. Z7 F) g% z漏洞原理
( z! q; J* [! J4 x9 r9 {; w漏洞的利用原理很简单，请看Upload.asp文件：; J$ {' r1 r$ @9 c* o: h8 v( J. Y" {
任何情况下都不允许上传asp脚本文件
, U9 c+ Z3 @; i; DsAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)# D3 q4 Y& b: ^) T/ P% i) o
因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！3 f$ e4 s/ O. B
高级应用, f) L) w7 F$ s% O! j
eWebEditor的漏洞利用还有一些技巧：
! U7 h% @( X& n6 Z: e/ u1．使用默认用户名和密码无法登录。
* H# P6 M. R, n' m% ?# P请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法破解，那就当自己的运气不好了。
2 @+ s: }0 n9 i2．加了asa类型后发现还是无法上传。4 t; u% N( o9 l$ H2 ^$ |3 W7 M
应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = Replace(UCase(sAllowExt), “ASP”, “”)一句上修改，我就看见过一个站长是这样修改的：) Q$ C; K' y0 R. J" U% T  D' H
sAllowExt = Replace(Replace(Replace(Replace(Replace(UCase(sAllowExt), “ASP”, “”), “CER”, “”), “ASA”, “”), “CDX”, “”), “HTR”, “”)- m+ q/ _7 V% V6 n8 v, Q% n
猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。
1 @, {) C* `$ {' T6 ]9 Q  [1 B( S3．上传了asp文件后，却发现该目录没有运行脚本的权限。  v1 O: i, t9 A1 h  H' @
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。- C( M% {; ^2 s) v
4．已经使用了第2点中的方法，但是asp类型还是无法上传。" O- G7 i( H0 i9 `6 ?( f( R, ?7 O
看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。4 n4 N8 B7 Y/ ~. _# x" u
后记8 `: x; I3 q; L
根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！  B& w8 k6 p; i% P
基本入侵基础漏洞( G0 W$ ?4 A$ |- q
eWebEditor 漏洞2 n$ F  X2 A8 D* M' R- s
* z( A" {7 u+ \
各位站长在使用eWebEditor的时候是否发现，eWebEditor配置不当会使其成为网站中的隐形炸弹呢？第一次发现这漏洞源于去年的一次入侵，在山穷水尽的时候发现了eWebEditor，于是很简单就获得了WebShell。后来又有好几次利用eWebEditor进行入侵的成功经历，这才想起应该写一篇文章和大家共享一下，同时也请广大已经使用了eWebEditor的站长赶紧检查一下自己的站点。要不然，下一个被黑的就是你哦！  
. }0 d  j- b: H. R5 q
$ k3 d! X7 W- V9 S+ [0 N$ [漏洞利用
! L: g( O# j; S- {2 ~$ V( S4 o  r利用eWebEditor获得WebShell的步骤大致如下：3 c8 ?! K3 J% L' Z) b
1．确定网站使用了eWebEditor。一般来说，我们只要注意发表帖子（文章）的页面是否有类似做了记号的图标，就可以大致做出判断了。- ?' G3 a% y8 H& B3 Q
2．查看源代码，找到eWebEditor的路径。点击“查看源代码”，看看源码中是否存在类似“<iframe ID='eWebEditor1' src='/edit/ewebeditor.asp?id=content&style=web' frameborder=0 scrolling=no width='550' HEIGHT='350'></iframe>”的语句。其实只有发现了存在这样的语句了，才可以真正确定这个网站使用了 eWebEditor。然后记下src='***'中的“***”，这就是eWebEditor路径。
! t9 |# {/ x. k  h" x9 P1 p2 Z3．访问eWebEditor的管理登录页面。eWebEditor的默认管理页面为admin_login.asp，和ewebeditor.asp在同一目录下。以上面的路径为例，我们访问的地址为：http://www.***.net/edit/admin_login.asp，看看是否出现了登录页面。+ f1 k" r" u; g4 ~; A2 L; k; S" F
如果没有看到这样的页面，说明管理员已经删除了管理登录页面，呵呵，还等什么，走人啊，换个地方试试。不过一般来说，我很少看到有哪个管理员删了这个页面，试试默认的用户名：admin，密码：admin888。怎么样？成功了吧（不是默认账户请看后文）！
1 t8 f5 M  }) w4．增加上传文件类型。点击“样式管理”，随便选择列表中底下的某一个样式的“设置，为什么要选择列表中底下的样式？因为eWebEditor自带的样式是不允许修改的，当然你也可以拷贝一个新的样式来设置。
/ p3 j/ |, k/ F! ]. \; P
6 s: j& M8 ]( q然后在上传的文件类型中增加“asa”类型。
# r8 R) y0 H7 T& g' u8 l
7 r+ \. P2 G4 S% m( [5 _3 K5．上传ASP木马，获得WebShell。接下来将ASP木马的扩展名修改为asa，就可以简单上传你的ASP木马了。不要问我怎么上传啊，看到 “预览” 了吗？点击“预览”，然后选择“插入其它文件”的按钮就可以了。
1 G1 T% |$ w; k- c1 d: h* K: ]& n4 ?: g# f) ?$ Q9 n
. B3 b8 r- L& p) J' h4 r# G/ T& n
漏洞原理7 ^+ x) T9 r+ H7 N  S7 [
漏洞的利用原理很简单，请看Upload.asp文件：5 d% L' A' a2 W; @* s& |# [
任何情况下都不允许上传asp脚本文件! g, S; T8 X, p* s/ a( u! A
sAllowExt = replace(UCase(sAllowExt), "ASP", "")( {8 x! I- g% w5 l
因为eWebEditor仅仅过滤了ASP文件。记得我第一次使用eWebEditor时就在纳闷：既然作者已经知道asp文件需要过滤，为什么不同时过滤asa、cer等文件呢？也许这就是对免费用户不负责任的表现吧！/ [/ u( D2 V9 C6 M9 s& b5 S

' @& M# k" L3 t2 z" A  D# I0 }高级应用
0 D. |. F, B/ u7 M! g  x. H5 p# u: ReWebEditor的漏洞利用还有一些技巧：
) ~! G5 F3 F/ b1．使用默认用户名和密码无法登录。2 M, ?8 T" ^& v
请试试直接下载db目录下的ewebeditor.mdb文件，用户名和密码在eWebEditor_System表中，经过了md5加密，如果无法下载或者无法****，那就当自己的运气不好了。# B# d0 X# Z7 u+ k: B9 y$ O. U
2．加了asa类型后发现还是无法上传。1 m" u9 e, l' T# Z5 d
应该是站长懂点代码，自己修改了Upload.asp文件，但是没有关系，按照常人的思维习惯，往往会直接在sAllowExt = replace(UCase(sAllowExt), "ASP", "")一句上修改，我就看见过一个站长是这样修改的：
' o+ I1 y( d% |sAllowExt = replace(replace(replace(replace(replace(UCase(sAllowExt), "ASP", ""), "CER", ""), "ASA", ""), "CDX", ""), "HTR", "")
6 w. c- ]5 [7 s0 M+ i7 q4 D猛一看什么都过滤了，但是我们只要在上传类型中增加“aaspsp”，就可以直接上传asp文件了。呵呵，是不是天才的想法？“aaspsp”过滤了 “asp”字符后，反而变成了“asp”！顺便告诉大家一个秘密，其实动网论坛7.0 sp2中也可以利用类似的方法绕过对扩展名的过滤。4 W) ?( b& c! A3 h6 ?6 H# }4 `; m
3．上传了asp文件后，却发现该目录没有运行脚本的权限。( Y' b  m3 `6 A2 I9 q$ ?  w
呵呵，真是好笨啊，上传类型可以改，上传路径不是也可以修改的吗？仔细看看图四。, r% u7 p# i4 `1 D/ H" c
4．已经使用了第2点中的方法，但是asp类型还是无法上传。6 j: F" s1 r9 Y7 H
看来站长肯定是一个写asp的高手，但是我们还有最后一招来对付他：看到图三中的“远程类型”了吗？eWebEditor能够设定自动保存远程文件的类型，我们可以加入asp类型。但是如何才能让远程访问的asp文件能够以源码形式保存呢？方法是很多的，最简单的方法是将IIS中的“应用文件映射”中的 “asp”删除。7 A7 d! W1 e" N+ h+ ]
; `) g; y6 L( P8 n9 O7 O
后记
$ W2 `$ j& E. H( m根据自己的经验，几乎只要能进入eWebEditor的后台管理，基本上都可以获得WebShell。在Google上搜索 “ewebeditor.asp?id=”能够看到长达十多页的相关信息，我大致抽查了其中几个，发现成功率约为50％。还不错吧？oblg 2.52版以前的版本也是使用eWebEditor，可以去搜索几个来练练手。要命的是eWebEditor的官方网站和帮助文件中根本没有这方面的安全提示。还有，我发现官方提供的测试系统并不存在类似的漏洞，看来不是他们不知道，而是没有把免费用户的网络安危放在心上！



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2