找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2636|回复: 0
打印 上一主题 下一主题

FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

[复制链接]
跳转到指定楼层
楼主
发表于 2012-12-10 10:20:31 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
感谢生生不息在freebuf社区”分享团”里给出线索,才有了本文
' W$ m  `; I/ V. h: Z
* f6 ~! I; T. w5 K% ~* \$ k  H% d原帖:http://club.freebuf.com/?/question/129#reply12
; I* c. g- y& [9 N1 \' Z5 V. G% I& y9 F/ ~- G; a$ D- x8 O* g
FCKEditor 2.6.8文件上传漏洞3 F0 Q0 Y6 e5 l- b0 E+ \
6 w- C& a: N3 t3 O  O7 h# Y1 B
Exploit-db上原文如下:
7 k* S5 M+ t, d  a8 z0 N3 K8 h( m3 T6 p- `0 D( \/ n
- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass! m3 |6 N" [$ I6 N7 m) H- G0 w
- Credit goes to: Mostafa Azizi, Soroush Dalili
, L7 ]+ u& h" X6 [- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/. o5 x3 W: |8 C; D
- Description:
' K2 W; ]8 C2 \1 e, f$ K# e& j, PThere is no validation on the extensions when FCKEditor 2.6.8 ASP version is7 B& R% x( v0 I
dealing with the duplicate files. As a result, it is possible to bypass0 K) m1 I8 n; v% Y1 n/ f7 X
the protection and upload a file with any extension.
7 l. h, n+ X5 O. |# f4 k- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/3 e1 t; N" W- m( j: ~* h3 C# E5 R1 w
- Solution: Please check the provided reference or the vendor website.
& K% i8 `' i+ F+ a
) G# P& E" w8 I; v2 V* i( I4 z- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720/ j* V' u# U% ]% e9 Z+ G1 }! w7 d
". }1 L: u1 h  K& P7 G( k7 W/ k
Note: Quick patch for FCKEditor 2.6.8 File Upload Bypass:( _  ~, `7 q3 p4 y; ?
4 Y5 R7 ]4 |6 W1 T4 v
In “config.asp”, wherever you have:
7 o4 R1 K6 b6 J$ Y2 m      ConfigAllowedExtensions.Add    “File”,”Extensions Here”) S# v3 D) w1 b0 V
Change it to:2 Q% M; d+ u( i
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频(需翻墙)里,我们可以看的很清楚:
/ V1 s- K! @. L$ a# d( b& _/ x+ z% P$ t* {; l) ?
1.首先,aspx是禁止上传的
1 |0 A& Z/ B3 P' a- S# r2.使用%00截断(url decode),第一次上传文件名会被转成_符号/ k3 c3 y! P% {
% [/ F- N( \# L' Q* r; |

; m8 c+ F( P. ^; J4 Y! p  _. ?9 O. |( y
接下来,我们进行第二次上传时,奇迹就发生了
% e% {& s( X; _8 N, K* X/ i; l

2 f1 L' j4 k, l* a+ w( ?2 |/ L  I4 L' v' j
代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html- t) p5 b( S: K( I4 [( k
7 M$ C# p% B: V9 Q: T+ }: O
4 t! L: R! h4 v2 u, K2 y: T

# t( j' Y4 M- |CKFinder/FCKEditor DoS漏洞/ n; W: f5 v! }7 \' H# L* U3 o

" r+ N/ J. J3 R. c相比上个上传bug,下面这个漏洞个人觉得更有意思
+ T. S. i  `5 m- e9 t0 t% s. @1 d
; z3 D' k2 w) s4 g+ c6 m ) p- ~5 ^" g. m/ n
0 b# ]0 p2 w9 B. p
CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观,快速学习的各类用户,从高级人才到互联网初学者。
1 X* W( e- l0 H6 c+ j
, p- C# W& e: c) ^CKFinder ASP版本是这样处理上传文件的:
5 g0 s9 _1 t) Y: _3 s
# r$ ?2 T: O) T0 T# S! U0 v当上传文件名已存在时,会进行迭代重命名,比如file(1).ext存在了,会尝试重命名为file(2).ext……直到不重复为止。, u2 \5 \2 C9 m8 n& w1 |+ v0 O
0 R5 A6 i/ f4 o1 ^
那么现在有趣的事情来了——windows是禁止”con”作为文件名的(关于这个问题我印象中很久以前,win也有过con文件名漏洞,有兴趣可以确认下). \) f) t4 o$ ~3 W3 W, D

" S: l; A. B' x  m  ldos方法也应运而生!& A+ W2 o( Y  x/ l  d
0 ]3 c  S8 G& e  C: d+ h. i2 V

6 U6 i( M1 c: o9 N1 V. g) @/ ?, v1 R1 U7 C# g, R& u9 N
1.上传Con.pdf.txt
, g" c0 J. r1 S0 n& I( e2.CKFinder认为“Con.pdf.txt” 已被占用,于是开始尝试Con.pdf(1).txt,Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
. H$ l/ b9 d5 C  s. ?5 W6 {: o( S: Q% k* l, Z! k
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表