FCKeditor（FCK）上传漏洞利用原理详解

小灰灰 2022-06-17 11:57 357阅读 0赞

积木网络FCK的问题与IIS的解析漏洞有着密切的关系，自IIS解析漏洞披露后，fck就遭受了新一轮冲击。由于fck对上传文件的扩展名检查不严格，导致了一些畸形文件名文件的上传，比如上面说道的test.asp;z.jpg，而由于IIS解析漏洞的原因，IIS会把这种格式的文件当做动态文件解析。FCK修正了一次之后，又出现了二次上传漏洞，就是第一次会把扩展名中多余的”.“替换成”-“，但是如果再传一次同样的文件，则不替换。对上传文件过滤似乎有所加强，出现invalid file弹窗的几率大为增加，但是还是有办法突破，这都归责于fck的致命问题：上传文件没有重命名！对于突破上传，网上有个朋友介绍了一个相当好的办法，那就是利用edjpgcom插入一句话到图片，这个图片还可以游览，fck根本无法检测出，非常好的一个伪装办法，edjpgcom.exe这个程序刀城有朋友传上来了，在cmd下使用，直接拉图片到程序也是可以的。

前几天遇到一个fck的一个新情况，是什么呢？重命名了，我不是很确认这是官方的版本还是自己修改的版本，FCK把所有的文件都重命名存放，截图看下

![0_1323939023g7zE.gif][]

![0_1323939040u26B.gif][]

可以看到严重的问题，虽然重命名，但是没有过于扩展名，真是奇怪，asp，cer，aspx都可以上传。

![0_13239390531d62.gif][]

测试了一下，aspx可以运行，说明上传不是假的。  
本人感觉这个应当是某些网站自己修改了上传页面，才会导致这么大的疏忽，在这也请各个站长注意了。  
  
说到FCK，几个老问题不得不说，虽然是陈年旧事，但是还是被很多站长们常常疏忽。对于FCK我会查找3个页面：fckeditor.html，test.html和browser.html  
  
首先说test.html的问题，看文件名就知道，这是fck的测试文件，可能出于疏忽，作为产品发布了，从此很多使用此编辑器的网站也就存在了这个页面。这个页面非常危险，可以直接上传动态文件。  
test.html存在2个不同版本，第一个版本的默认路径是FCKeditor/editor/filemanager/connectors/test.html，这是一个在FCK中比较常见的问题文件。  
  
![0_13239391817897.gif][]  
  
  
如图，直接选择本地文件上传，有时候不成功可以多测试几次connector，有时候可能关闭了asp，只开启了aspx；对于resouse type也是一样，或者只是开启了file或者image其中一个类型的上传。怎么获取上传地址呢？已经很明显了，点击”get folders and files“就将返回当前上传文件的地址。  
  
另外一个版本的test.html，相对较少，他的默认路径是FCKeditor/editor/filemanager/upload/test.html  
  
![0_1323939213RoLO.gif][]  
  
  
从图片可以看出，上传后会直接返回上传的路径，所以利用非常方便。  
  
下面说fckeditor.html和browser.html，  
先说browser.html，他的默认路径一般是FCKeditor/editor/filemanager/browser/default/browser.html?Type=file&Connector=connectors/asp/connector.asp  
这里是利用asp连接器，类型选择为”file“，打开后如下图  
  
![0_13239392270AMV.gif][]  
  
  
可以看到下面有一个上传的地方，如果rp没有问题，那么就可以上传成功，那么怎么获取上传之后的地址呢？这是一些朋友迷惑的问题  
FCK是利用xml列出文件的，在连接器中有这样一个命令”GetFoldersAndFiles",就是列出文件夹和文件。可以尝试运行下面的命令  
editor/filemanager/browser/default/connectors/php/connector.php?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/  
如果行的话就会列出文件路径。  
  
另外可以摸石头过河，根据经验瞎猜默认路径；翻一翻网站，找找相似的图片，说不定路径就出来了；再或者试试网页嗅探器。  
  
下面说说fckeditor.html。fckeditor.html的默认路径一般是fckeditor/editor/fckeditor.Html ，就我而言，只有当fckeditor.html无法利用，比如删除了，或者打开是一片空白，我才会查找browser.html。  
  
理由有3：  
第一，连接器的选择问题，如果用browser.html，你首先的测试哪一个Connector是可用的。而在fckeditor.html中，如果正常的话他有一个上传图片的功能，点击打开上传图片对话框  
  
![0_1323939251aOoU.gif][]  
  
可以看到一个”brows server“ 按钮，点击打开之，就会是正确的browser.html，他会自动选择正确的连接器。  
  
第二，上面说到的browser.html中获取上传路径的问题，从上传图片对话框中打开browser.html后，双击列出的文件，就将自动复制地址给”链接“或者“图像”，如上图中所示，在这里为相对路径为/upload/File/24filmru1377.html  
  
第三，他同样具有上传图片的地方，虽然没browse.html方便，可以测试多个类型文件  
  
  
![0_1323939269Fz9c.gif][]  
  
  
上传之后，会直接在”图像“栏中显示上传地址 。  
  
对于这个FCK的利用就说到这里了，下面说安全  
  
1，首先要删除上面说到的2个test.html，这2个文件对网站有百害而无一利  
  
2，对于文件的上传，我们可以关闭FCK的上传功能。关闭是在各个连接器的config文件中，比如asp连接器，editor/filemanager/browser/default/connectors/asp/config.asp，将config.asp中的ConfigIsEnabled的值设置为False。各个连接都需要关闭！当然最好的办法是删除filemanager这个文件夹，彻底解决FCK的上传，不过这样FCK也就无法上传了  
  
3，如果想使用FCK上传，那么就得修改相应的config文件。限制各个动态文件的上传，重命名文件。

4，如果你有服务器权限，那么取消FCK上传目录的“脚本”权限，虽上传，但是已无法运行。

本文转自好工具

[0_1323939023g7zE.gif]: /images/20220617/885a7c237d1e481ba95d0779be1a5250.png
[0_1323939040u26B.gif]: /images/20220617/1031ae04b72b47139c42cf793b706437.png
[0_13239390531d62.gif]: /images/20220617/3ae051302fb14f87bfb154bc667ff593.png
[0_13239391817897.gif]: /images/20220617/cfdca1ed12ea422a932ba66b35054f55.png
[0_1323939213RoLO.gif]: /images/20220617/e3c6225ca2264591990e7172d7eb9e96.png
[0_13239392270AMV.gif]: /images/20220617/b70afcbc8b4248a8a5bc07a009005e6e.png
[0_1323939251aOoU.gif]: /images/20220617/04ecfa2b344a43f18e81e4f67df53808.png
[0_1323939269Fz9c.gif]: /images/20220617/a6288ed463b446f696780472bb0bebab.png