FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文
& ]9 Z& s" m6 r$ P  T* l3 Z
原帖：http://club.freebuf.com/?/question/129#reply12
6 T8 V  j( K+ E+ S
, I3 S$ y( T4 R$ c- K: Q: [+ |FCKEditor 2.6.8文件上传漏洞

Exploit-db上原文如下：

- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
/ ?# B/ d9 K$ R7 ]. e4 i- Credit goes to: Mostafa Azizi, Soroush Dalili
- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
, v: W" l) w) d: r$ J% p6 m9 B- Description:
" @2 V5 V5 U9 X5 `- w  D$ qThere is no validation on the extensions when FCKEditor 2.6.8 ASP version is
0 [, \' i+ J3 S, V% P5 t4 {* |dealing with the duplicate files. As a result, it is possible to bypass
the protection and upload a file with any extension.
$ i' Z2 H) Z* B7 K2 f% T- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
  j+ c. v* @. \1 [5 k. L, w  r- Solution: Please check the provided reference or the vendor website.

- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
"
( v5 A5 u, }/ o4 jNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:
5 J5 Z% q; C' F9 @" K( Q
) T* j' I  h$ Q$ YIn “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
Change it to:
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
2.使用%00截断（url decode），第一次上传文件名会被转成_符号
% C- E4 P* i, r; B  X3 ^7 u
5 W9 d9 b2 H* x

接下来，我们进行第二次上传时，奇迹就发生了

/ u, }; b6 O- X8 C3 C% ~4 I3 l
! B/ a$ R5 R" u  z4 O2 Y8 E3 v8 l
: A. F3 i8 S# l( Z  c6 }- a' Y2 r代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html
6 x9 E1 @$ ?& }! s8 s0 [2 y


CKFinder/FCKEditor DoS漏洞
) [6 B8 L) h# v+ w9 f; I8 \( j, o
相比上个上传bug，下面这个漏洞个人觉得更有意思

9 n/ c! H7 L2 ?- e& K

CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。
+ j- i, y) K- m' }7 A  |4 ~2 @! G
CKFinder ASP版本是这样处理上传文件的：

当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
# s$ h1 S* K2 Z" k% ~
  f+ w" O# g* R9 b1 \- s那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）
6 V- C: k* W+ P# K5 |
# [) \) B2 [0 ~  k8 t  h1 R5 Q; {dos方法也应运而生！

. h5 U2 Z% }  H. e0 n
, j/ ?" w$ W1 t. s
+ [2 u$ a2 D. ^1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。
$ S& F9 W; J) o. q
' y+ W6 ?% p' K) s3 j+ o