FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文

原帖：http://club.freebuf.com/?/question/129#reply12

) _0 d# K) d; _4 J9 hFCKEditor 2.6.8文件上传漏洞
+ e. A& z5 t5 h5 C8 W8 ?8 c
  U* Q7 s3 Z1 f! k8 z5 s( \Exploit-db上原文如下：

& l" \6 `' F, r+ P( X% A0 X* `- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
' e* b- I- {" U7 e3 P6 Q# t! o+ f- Credit goes to: Mostafa Azizi, Soroush Dalili
1 t. z  ~- s7 u9 [- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
9 G* {3 N) d- n  l- k7 W* Q6 i) l9 P0 i7 x- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
8 c! _2 |4 ?/ Z$ o6 Z; tdealing with the duplicate files. As a result, it is possible to bypass
) ]+ }3 s" N& m# D1 \2 Rthe protection and upload a file with any extension.
! [% p2 j+ d& s+ H  n7 }- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.

( O4 ]6 d, U* }- m- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
" O- l8 ]5 N3 Y% G" ?4 z"
7 G1 P, @3 ]6 @/ T$ S0 `( e# ]Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

& K% Z" A+ r% Y  aIn “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
) s/ ?& g! j& c      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
2.使用%00截断（url decode），第一次上传文件名会被转成_符号
# F* L# L/ Y  J% w1 H
6 B6 T3 y  N: I$ D0 X

7 S6 x# X' [+ f+ R3 X% k/ Z6 [) M接下来，我们进行第二次上传时，奇迹就发生了
" Q4 x1 G* o/ H3 V
/ m$ v5 B4 `' [+ q  M' D

! X" I4 v& U$ L6 [代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
: {, ^2 N0 X3 k  s) Y4 N

0 ?5 {: L  L2 p  x* g: L
CKFinder/FCKEditor DoS漏洞
8 K, B4 v9 h) V2 n' r2 ^& [
7 N% n- |# z! z& \$ a相比上个上传bug，下面这个漏洞个人觉得更有意思

( o9 T: s& D' r4 l- G- n

5 [6 g, p$ p. s: ~0 l8 U" x0 DCKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
" P! ]" S' Q) Y+ a! t
  g/ P1 T' g5 g! L2 o+ |! a5 FCKFinder ASP版本是这样处理上传文件的：

当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
. O$ k  I6 `3 B/ e9 W
那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）

* e4 R( R2 c) z  a, G1 Zdos方法也应运而生！
. Q' f/ d% x6 V* D. ^, o8 A4 x7 Q! n


1.上传Con.pdf.txt
/ L5 m, }1 K* ~  e2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
- }$ B' m7 ^1 a3 Q. [& Z