前段时间,IIS解析漏洞被披露出来。IIS解析漏洞就是把shell文件命名为test.asp;z.jpg,test.asp;_gif之类格式的文件,会被当做asp,php,aspx等动态文件解析的问题。对于FCK来讲,这个漏洞应当是起到了助纣为虐的作用。fckeditor可能是当今各大站长使用的最为广泛的一款网页编辑器,其兼容性和易用性广为人知,但同时众所周知的是他的安全性也被人广为诟病。IIS解析漏洞和FCK上传文件问题这两者的结合铸就了江湖太多太多的血雨腥风。前段时间安全中国,NOD32网站等网站被入侵,听说都是因FCK所累,真不知有多少大站倒在fck的石榴裙下,网络安全有点触目惊心的味道。

     FCK的问题与IIS的解析漏洞有着密切的关系,自IIS解析漏洞披露后,fck就遭受了新一轮冲击。由于fck对上传文件的扩展名检查不严格,导致了一些畸形文件名文件的上传,比如上面说道的test.asp;z.jpg,而由于IIS解析漏洞的原因,IIS会把这种格式的文件当做动态文件解析。FCK修正了一次之后,又出现了二次上传漏洞,就是第一次会把扩展名中多余的”.“替换成”-“,但是如果再传一次同样的文件,则不替换。对上传文件过滤似乎有所加强,出现invalid file弹窗的几率大为增加,但是还是有办法突破,这都归责于fck的致命问题:上传文件没有重命名!对于突破上传,网上有个朋友介绍了一个相当好的办法,那就是利用edjpgcom插入一句话到图片,这个图片还可以游览,fck根本无法检测出,非常好的一个伪装办法,edjpgcom.exe这个程序刀城有朋友传上来了,在cmd下使用,直接拉图片到程序也是可以的。
     前几天遇到一个fck的一个新情况,是什么呢?重命名了,我不是很确认这是官方的版本还是自己修改的版本,FCK把所有的文件都重命名存放,截图看下
 


 

 
可以看到严重的问题,虽然重命名,但是没有过于扩展名,真是奇怪,asp,cer,aspx都可以上传。
 
测试了一下,aspx可以运行,说明上传不是假的。
本人感觉这个应当是某些网站自己修改了上传页面,才会导致这么大的疏忽,在这也请各个站长注意了。

说到FCK,几个老问题不得不说,虽然是陈年旧事,但是还是被很多站长们常常疏忽。对于FCK我会查找3个页面:fckeditor.html,test.html和browser.html

首先说test.html的问题,看文件名就知道,这是fck的测试文件,可能出于疏忽,作为产品发布了,从此很多使用此编辑器的网站也就存在了这个页面。这个页面非常危险,可以直接上传动态文件。
test.html存在2个不同版本,第一个版本的默认路径是FCKeditor/editor/filemanager/connectors/test.html,这是一个在FCK中比较常见的问题文件。

如图,直接选择本地文件上传,有时候不成功可以多测试几次connector,有时候可能关闭了asp,只开启了aspx;对于resouse type也是一样,或者只是开启了file或者p_w_picpath其中一个类型的上传。怎么获取上传地址呢?已经很明显了,点击”get folders and files“就将返回当前上传文件的地址。

另外一个版本的test.html,相对较少,他的默认路径是FCKeditor/editor/filemanager/upload/test.html 

从图片可以看出,上传后会直接返回上传的路径,所以利用非常方便。

下面说fckeditor.html和browser.html,
先说browser.html,他的默认路径一般是FCKeditor/editor/filemanager/browser/default/browser.html?Type=file&Connector=connectors/asp/connector.asp
这里是利用asp连接器,类型选择为”file“,打开后如下图


 
可以看到下面有一个上传的地方,如果rp没有问题,那么就可以上传成功,那么怎么获取上传之后的地址呢?这是一些朋友迷惑的问题
FCK是利用xml列出文件的,在连接器中有这样一个命令”GetFoldersAndFiles”,就是列出文件夹和文件。可以尝试运行下面的命令
editor/filemanager/browser/default/connectors/php/connector.php?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
如果行的话就会列出文件路径。

另外可以摸石头过河,根据经验瞎猜默认路径;翻一翻网站,找找相似的图片,说不定路径就出来了;再或者试试网页嗅探器。

下面说说fckeditor.html。fckeditor.html的默认路径一般是fckeditor/editor/fckeditor.Html ,就我而言,只有当fckeditor.html无法利用,比如删除了,或者打开是一片空白,我才会查找browser.html。

理由有3:
第一,连接器的选择问题,如果用browser.html,你首先的测试哪一个Connector是可用的。而在fckeditor.html中,如果正常的话他有一个上传图片的功能,点击打开上传图片对话框
 
可以看到一个”brows server“ 按钮,点击打开之,就会是正确的browser.html,他会自动选择正确的连接器。

第二,上面说到的browser.html中获取上传路径的问题,从上传图片对话框中打开browser.html后,双击列出的文件,就将自动复制地址给”链接“或者“图像”,如上图中所示,在这里为相对路径为/upload/File/24filmru1377.html

第三,他同样具有上传图片的地方,虽然没browse.html方便,可以测试多个类型文件


 
上传之后,会直接在”图像“栏中显示上传地址 。


对于这个FCK的利用就说到这里了,下面说安全

1,首先要删除上面说到的2个test.html,这2个文件对网站有百害而无一利

2,对于文件的上传,我们可以关闭FCK的上传功能。关闭是在各个连接器的config文件中,比如asp连接器,editor/filemanager/browser/default/connectors/asp/config.asp,将config.asp中的ConfigIsEnabled的值设置为False。各个连接都需要关闭!当然最好的办法是删除filemanager这个文件夹,彻底解决FCK的上传,不过这样FCK也就无法上传了

3,如果想使用FCK上传,那么就得修改相应的config文件。限制各个动态文件的上传,重命名文件。

4,如果你有服务器权限,那么取消FCK上传目录的“脚本”权限,虽上传,但是已无法运行。
 
 
by  daokers
2010-02-05