【滲透課程】第八篇-上傳漏洞之文本編輯器上傳
Oday
常見的文本編輯器有CKEditor，Ewebeditor，UEditor，KindEditor，XHeditor等。其包含的功能類似，比如，圖片上傳、視頻上傳、遠程下載等。
使用這類編輯器減少了程序開發的時間，但也存在通用性漏洞帶來的危害
以FCKeditor（現已更名為CKEditor）為例，其存在如下漏洞
一、敏感信息暴露
1.1 查看版本信息
/FCKeditor/editor/dialog/fck_about.html
1.2 默認上傳頁面
/FCKeditor/editor/filemanager/browser/default/browser.html
/FCKeditor/editor/filemanager/browser/default/connectors/test.html
/FCKeditor/editor/filemanager/upload/test.html
/FCKeditor/editor/filemanager/connectors/test.html
/FCKeditor/editor/filemanager/connectors/uploadtest.html
1.3 其他敏感文件
/FCKeditor/editor/filemanager/connectors/aspx/connector.aspx
/FCKeditor/editor/filemanager/connectors/asp/connector.asp
/FCKeditor/editor/filemanager/connectors/php/connector.php
二、黑名單策略錯誤
在FCKeditor<=2.4.3版本中采用的是黑名單機制，在config.asp文件中有對此黑名單的定義。
在這個黑名單中過濾了一些常見的文件擴展名，但疏忽了asa、cer等未知風險擴展名。
三、任意文件上傳漏洞
在FCKeditor2.4.2及其以下的版本中，都存在任意文件上傳漏洞，比如文件upload.php
在Burp Suite中攔截上傳信息，並將請求地址改為upload.php?Type=Media上傳。
在FCKeditor中還存在其他的漏洞，例如，ASP.NET二次上傳，建立畸形文件夾等漏洞。
補充：
關於各種版本的FCKeditor，上傳利用地址形式如下：
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors
JSP版本：/jsp/connector
ASP版本：/asp/connector
ASPX版本：/aspx/connector
cfm版本：/cfm/connector
由於FCKeditor的典型目錄結構是“UserFiles/Image/”,因此，上傳的WebShell地址格式為“UserFiles/Image（File或Flash）/+文件名稱”。例如：http://www.x.com/UserFiles/Flash/Browser.jsp
eWebEditor
下載eWebEditor的默認數據庫文件：db/ewebeditor.mdb
默認後臺：ewebeditor/admin_login.asp,默認用戶名和密碼admin/admin
樣式管理：/system/editor/admin_style.asp
Dvbbs 8.2中數據庫的默認地址：data/dvbbs8.mdb
【滲透課程】第八篇-上傳漏洞之文本編輯器上傳