FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文
8 {5 R( R! a' t4 L
  z3 [( O4 }6 c6 a! H' u7 W原帖：http://club.freebuf.com/?/question/129#reply12
, ~0 l. E! Q8 L' \5 C8 T7 z& H, b, Y3 s
+ l# {% h5 O/ b8 R2 rFCKEditor 2.6.8文件上传漏洞
; x7 l4 g% k0 B- I7 @/ V/ n
Exploit-db上原文如下：
1 l% x2 @2 ]# u0 n$ u
- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
- Credit goes to: Mostafa Azizi, Soroush Dalili
- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
( o0 D1 o5 c0 ~- Description:
4 |  i1 t1 a7 O7 e/ h- g3 T9 CThere is no validation on the extensions when FCKEditor 2.6.8 ASP version is
dealing with the duplicate files. As a result, it is possible to bypass
1 A" N5 l9 A8 j! h, l, othe protection and upload a file with any extension.
) n' y! y) N! x. x  e- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.

- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
6 @5 z8 y, F# y+ L+ f9 ~+ e"
# I  ~. [5 F+ |+ x3 JNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:
) o- d- ?- {/ Y5 N  w
In “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
; n+ S$ t* K* j! C7 g7 i3 M: ?  ^) L      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
! p6 u( }  j- n2.使用%00截断（url decode），第一次上传文件名会被转成_符号
! Y+ A8 k! d9 H2 d4 @1 n


: ^" C9 V3 Y5 U/ w8 Q接下来，我们进行第二次上传时，奇迹就发生了

: j" k3 H; M* Z8 s
; u7 }/ _8 M. j, h  j+ X
" f3 B' p3 A0 ~8 J( @, b代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
: e' r; s1 I, R3 {5 N) |( T( l
3 z2 s: a# E  j" I- k0 F& }. N

CKFinder/FCKEditor DoS漏洞

  x6 H0 [1 N+ z0 ?9 v/ {相比上个上传bug，下面这个漏洞个人觉得更有意思

" o0 G9 R9 p& j+ T6 }2 N1 ^- w' {, G

/ }* h6 c) x" x1 E0 `CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
; @+ B0 D% [+ c* l) S( Y
& _* Z1 `4 ?2 n2 L4 FCKFinder ASP版本是这样处理上传文件的：
' x4 e  ]9 R2 l
) @/ \3 [3 J; E2 w$ @! r' r当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
3 g  G7 I5 n: T( r! V
% C& E& G$ m( j2 Y  O8 w那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）
, `: w5 O7 `) A/ E! S2 D8 h
0 d- ]2 O& E" v6 h/ C% x: h: f. }% j, ddos方法也应运而生！
: z% F4 G' y, {6 V


! x. n& N' _7 b( n5 w1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。

% T5 a5 N" N" Q2 E5 J8 `; O