FCKEditor 2.6.8文件上传和CKFinder/FCKEditor DoS漏洞

admin

感谢生生不息在freebuf社区”分享团”里给出线索，才有了本文

原帖：http://club.freebuf.com/?/question/129#reply12
! w- `( o7 x8 q# g! b9 s0 c
' |: \  E1 {' {' CFCKEditor 2.6.8文件上传漏洞

Exploit-db上原文如下：
. H* i1 J$ [3 s0 N; q8 y
- Title: FCKEditor 2.6.8 ASP Version File Upload Protection bypass
6 v% S2 o. Q# t( j* h% M- Credit goes to: Mostafa Azizi, Soroush Dalili
+ F2 R9 E6 g2 B1 E- Link:http://sourceforge.net/projects/fckeditor/files/FCKeditor/
- Description:
There is no validation on the extensions when FCKEditor 2.6.8 ASP version is
dealing with the duplicate files. As a result, it is possible to bypass
the protection and upload a file with any extension.
- Reference: http://soroush.secproject.com/blog/2012/11/file-in-the-hole/
- Solution: Please check the provided reference or the vendor website.
& [5 h1 g% O; `4 [3 j! ^$ P
- PoC:http://www.youtube.com/v/1VpxlJ5 ... ;rel=0&vq=hd720
5 s7 V4 @( {) W& X+ x"
+ `7 r# M0 @& ]3 c  rNote: Quick patch for FCKEditor 2.6.8 File Upload Bypass:

; ~/ N" u4 N( ]1 l5 ?! |2 b' M/ H+ ?In “config.asp”, wherever you have:
      ConfigAllowedExtensions.Add    “File”,”Extensions Here”
" L1 t, d, S/ h( n0 r; x  ~5 N0 yChange it to:
      ConfigAllowedExtensions.Add    “File”,”^(Extensions Here)$”在视频（需翻墙）里，我们可以看的很清楚：

1.首先，aspx是禁止上传的
$ D# Y! P8 O- x+ q2 Z5 B2.使用%00截断（url decode），第一次上传文件名会被转成_符号
" e0 [/ S  P5 p
2 m0 ?# l' f' X

! P6 d; k% Q0 a; W接下来，我们进行第二次上传时，奇迹就发生了

) O4 E7 n! n  T+ @
% X7 W& u2 v% m( N3 }6 i  H/ f: a6 {/ L
代码层面分析可以看下http://lanu.sinaapp.com/ASPVBvbscript/121.html



+ W4 G& F  y/ ]+ JCKFinder/FCKEditor DoS漏洞
" Z% P; W7 `  n* e' p8 W
+ W" J) R7 I+ p# _& f+ o0 y! e相比上个上传bug，下面这个漏洞个人觉得更有意思



! q, c# U; g- C+ y7 j! L9 |CKFinder是一个强大而易于使用的Web浏览器的Ajax文件管理器。 其简单的界面使得它直观，快速学习的各类用户，从高级人才到互联网初学者。

: i, I7 s' d* ~7 q2 qCKFinder ASP版本是这样处理上传文件的：
! s% r4 {) E5 x3 e* L& Q
# L4 W9 G3 ~& L; `当上传文件名已存在时，会进行迭代重命名，比如file(1).ext存在了，会尝试重命名为file(2).ext……直到不重复为止。
8 H* I& i" b! h! m+ }5 x3 p8 ~
那么现在有趣的事情来了——windows是禁止”con”作为文件名的（关于这个问题我印象中很久以前，win也有过con文件名漏洞，有兴趣可以确认下）
; h( O) E; h) j3 X* p
dos方法也应运而生！



1.上传Con.pdf.txt
2.CKFinder认为“Con.pdf.txt” 已被占用，于是开始尝试Con.pdf(1).txt，Con.pdf(2).txt……Con.pdf(MaxInt).txt从而对服务器形成致命dos。