【渗透课程】第八篇-上传漏洞之文本编辑器上传

Oday

常见的文本编辑器有CKEditor，Ewebeditor，UEditor，KindEditor，XHeditor等。其包含的功能类似，比如，图片上传、视频上传、远程下载等。

使用这类编辑器减少了程序开发的时间，但也存在通用性漏洞带来的危害

以FCKeditor（现已更名为CKEditor）为例，其存在如下漏洞

一、敏感信息暴露

1.1 查看版本信息

/FCKeditor/editor/dialog/fck_about.html 

1.2 默认上传页面

/FCKeditor/editor/filemanager/browser/default/browser.html

/FCKeditor/editor/filemanager/browser/default/connectors/test.html

/FCKeditor/editor/filemanager/upload/test.html

/FCKeditor/editor/filemanager/connectors/test.html

/FCKeditor/editor/filemanager/connectors/uploadtest.html

1.3 其他敏感文件

/FCKeditor/editor/filemanager/connectors/aspx/connector.aspx

/FCKeditor/editor/filemanager/connectors/asp/connector.asp

/FCKeditor/editor/filemanager/connectors/php/connector.php

二、黑名单策略错误

在FCKeditor<=2.4.3版本中采用的是黑名单机制，在config.asp文件中有对此黑名单的定义。

在这个黑名单中过滤了一些常见的文件扩展名，但疏忽了asa、cer等未知风险扩展名。

三、任意文件上传漏洞

在FCKeditor2.4.2及其以下的版本中，都存在任意文件上传漏洞，比如文件upload.php

在Burp Suite中拦截上传信息，并将请求地址改为upload.php?Type=Media上传。

在FCKeditor中还存在其他的漏洞，例如，ASP.NET二次上传，建立畸形文件夹等漏洞。

补充：

关于各种版本的FCKeditor，上传利用地址形式如下：

FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors

JSP版本：/jsp/connector

ASP版本：/asp/connector

ASPX版本：/aspx/connector

cfm版本：/cfm/connector

由于FCKeditor的典型目录结构是“UserFiles/Image/”,因此，上传的WebShell地址格式为“UserFiles/Image（File或Flash）/+文件名称”。例如：http://www.x.com/UserFiles/Flash/Browser.jsp

eWebEditor

下载eWebEditor的默认数据库文件：db/ewebeditor.mdb

默认后台：ewebeditor/admin_login.asp,默认用户名和密码admin/admin

样式管理：/system/editor/admin_style.asp

Dvbbs 8.2中数据库的默认地址：data/dvbbs8.mdb