中国网络渗透测试联盟

标题: FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞 [打印本页]
作者: admin    时间: 2012-12-10 10:20
标题: FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞
感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文) D2 D- T/ X8 _! ^7 n
# y4 w" G& r& W0 X
原帖：http://club.freebuf.com/?/question/129#reply12" t  h8 o: M4 ~) P
- b7 J4 m. P3 G- J4 j( N
FCKEditor 2.6.8文件上传漏洞
/ m) F2 D2 ?8 Y# D& R' {
3 Q* d$ _; g6 S$ P/ t* `Exploit-db上原文如下：
, b$ l) N' d8 i* b* o$ M5 B( u7 k1 P2 @7 y: [. L# G4 L, J0 K
- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass. M, A5 N+ w6 |" B
- Credit goes to: Mostafa Azizi, Soroush Dalili* x" x$ m0 C  R) X+ p7 i/ b+ }6 v
- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/$ U* |# S: _- j, ^4 n: y
- Description:) j1 K& [$ L! ~" r
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
# s' m# F" S/ ~' Z/ \/ Kdealing with the duplicate files. As a result, it is possible to bypass" B0 r# ]' x* Q7 }# q
the protection and upload a file with any extension.% E! q& A+ [4 I8 \
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
) Q/ u: ~9 w0 {: Y4 \- Solution: Please check the provided reference or the vendor website.
$ h+ S$ I, O+ o
; P! \* w3 R1 v; R5 v# s- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
9 u- @1 E  L( G" ?4 g  m% Q"2 J1 A( m% k9 D
Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:
3 p1 v; d6 y$ y: o; P- I' Y* F9 t5 l& {* o% U4 y9 v: C6 G
In “config.asp”, wherever you have:
4 V* ~3 J+ T- J      ConfigAllowedExtensions.Add    “File”,”Extensions Here”  g7 W' f* ~) n1 u
Change it to:0 S# l# {4 v5 U7 ]0 H2 k
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：* R1 h3 W; D3 x4 c% H2 _0 |* E

* l! p  p6 A$ b4 Y- p9 q: f+ s/ ?1.首先，aspx是禁止上传的
8 J0 L- m, r: X, c2 G2.使用%00截断（url decode），第一次上传文件名会被转成_符号
0 ~3 S8 M$ z3 @2 ]- C: o+ ^! P% I+ U1 ^. q4 ^0 v) e9 v# f0 o
2 @6 P7 [7 L- x, j9 J2 q8 K

6 L" E: T6 _8 v: k' x0 L接下来，我们进行第二次上传时，奇迹就发生了- c5 |' [" a% `$ X

5 h0 p+ H- N6 A; D2 a3 I2 f
/ _- q  J. J) R" o1 M
! c3 W- c8 _0 n2 O% G+ [代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
7 ]- {) r" j% `$ }
) L8 ^; B. I  r) f
: v* q" |0 Q! `  M, _
* I) S% x) M2 U' v3 k3 JCKFinder/FCKEditor DoS漏洞
' z' M$ m! g' w2 i  t9 N& E, C6 v4 ?& g1 _6 g4 l- `+ U0 y
相比上个上传bug，下面这个漏洞个人觉得更有意思
; N) Q0 h  v, Z5 ^$ H
! a/ M5 Y/ z7 b1 P8 v& L 5 G  |2 r- `7 ^
! u, V. a2 K0 a2 u: Y- V, ^- I$ ^
CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
$ u; c7 t# g! C& b9 e
# O# W- k- f& NCKFinder ASP版本是这样处理上传文件的：
, w# E5 a! U: p/ m
% Q4 Z* @4 r  }& l4 b; k当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。, s6 d7 j5 G. ^8 |" H  G. [

9 L: H5 x7 q( e那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）3 }4 Z( o% S3 ^

' M2 N5 q, P" @  ]6 F- w9 Vdos方法也应运而生！9 W/ J; \7 K% }% Y/ i$ p

) X& x( w# P' r3 T! H
) g+ Z' g& k5 G! v! h% c
6 S8 T+ x* i8 ^8 e& g  Q; b3 B1.上传Con.pdf.txt
, l% R& d9 F2 [9 [1 H" N% \2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
0 K; E0 M& \* [
/ o- B; w3 Y8 E8 y8 U



欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2