FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文

3 G0 J: x$ ^  f. |原帖：http://club.freebuf.com/?/question/129#reply12
% }. o5 }% y. e8 }  @' n
# O) U7 z- c; m/ lFCKEditor 2.6.8文件上传漏洞

Exploit-db上原文如下：

# B1 v, }: [6 \. p/ t  P- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
  F& t1 Q9 z: t" A7 X% o3 @- Credit goes to: Mostafa Azizi, Soroush Dalili
- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
' o0 Z) c4 P4 P! v+ @. i5 y- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
7 a$ P: v( L; t  H$ l; v9 }! ]dealing with the duplicate files. As a result, it is possible to bypass
the protection and upload a file with any extension.
% ?, z2 h8 r8 S9 h- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.
: o: f1 K6 I' p$ R2 G. E" B% h
" p  c; c9 J+ z- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
"
Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

" p# \% J7 @8 N3 V0 O! _0 dIn “config.asp”, wherever you have:
6 [' j, C5 U8 k7 F+ d1 y) k      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
7 g' R3 U- u+ I- F. gChange it to:
" j$ w( ]2 Y8 w      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
. r% h& Z8 r* q# V! V2.使用%00截断（url decode），第一次上传文件名会被转成_符号



( ^; s2 H3 r, f4 n' T1 D接下来，我们进行第二次上传时，奇迹就发生了
+ i1 k, d  j/ t3 L


代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html

2 G6 L* b! f& o! R
5 J  p2 @: c  h  i; a7 W
- I0 q6 p8 ~) R7 x9 n3 Q+ OCKFinder/FCKEditor DoS漏洞
1 A+ o; v: s) s0 l  V
7 p) x1 c& T+ L9 t7 p相比上个上传bug，下面这个漏洞个人觉得更有意思

0 y$ R0 y3 o& F1 O- t# s, K  @1 t

& C; X7 F2 D. C* |( DCKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
* d7 y9 k4 Q* C4 S" w
CKFinder ASP版本是这样处理上传文件的：

& ?/ K3 E( J8 j! h当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。

那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）
$ g- O# g; X4 R3 [; e
dos方法也应运而生！


, B9 [; E( j" `% s- {, b
1.上传Con.pdf.txt
& F8 Z9 N/ U$ R2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
0 e9 {' [( [3 e( |0 ]9 Q  h