编辑器漏洞整理

青旅半醒 2022-07-13 17:44 217阅读 0赞

**1.常见的编辑器**

常见的有Ewebeditor,fckeditor,ckeditor,kindeditor等等。这里有份编辑器漏洞手册:[http://navisec.it/%E7%BC%96%E8%BE%91%E5%99%A8%E6%BC%8F%E6%B4%9E%E6%89%8B%E5%86%8C/][http_navisec.it_E7_BC_96_E8_BE_91_E5_99_A8_E6_BC_8F_E6_B4_9E_E6_89_8B_E5_86_8C]

**2.Ewebeditor编辑器**

Ewebeditor是基于浏览器的、所见即所得的在线HTML编辑器。她能够在网页上实现许多桌面编辑软件（如：Word）所具有的强大可视编辑功能。WEB开发人员可以用她把传统的多行文本输入框<TEXTAREA>替换为可视化的富文本输入框，使最终用户可以可视化的发布HTML格式的网页内容。eWebEditor!已基本成为网站内容管理发布的必备工具！

**3.Ewebeditor利用核心**

如何发现编辑器地址  
  
Ewebeditor：  
默认后台：ewebeditor/admin\_login.asp  
默认数据库：ewebeditor/db/ewebeditor.mdb  
默认账号密码：admin admin/admin888

**4.利用过程**

通常入侵ewebeditor编辑器的步骤如下:

**1、首先访问默认管理页看是否存在**

默认管理页地址2.80以前为 ewebeditor/admin\_login.asp 以后版本为admin/login.asp(其他语言改后戳,这里以asp为例) 。

![20170301110034690][]

**2、默认管理帐号密码**

默认管理页存在！我们就用帐号密码登陆！默认帐号密码为: admin admin888 ！常用的密码还有admin admin999 admin1 admin000 之类的。

**3、默认数据库地址**

如果密码不是默认的。我们访问的就不是默认数据库！尝试下载数据库得到管理员密码！管理员的帐号密码，都在eWebEditor\_System表段里，sys\_UserName Sys\_UserPass 都是md5加密的。得到了加密密码。可以去www.cmd5.com www.xmd5.org 等网站进行查询！暴力这活好久不干了！也可以丢国外一些可以跑密码的网站去跑!

默认数据库路径为:ewebeditor/db/ewebeditor.mdb 常用数据库路径为:

ewebeditor/db/ewebeditor.asa

ewebeditor/db/ewebeditor.asp

ewebeditor/db/\#ewebeditor.asa

ewebeditor/db/\#ewebeditor.mdb

ewebeditor/db/!@\#ewebeditor.asp

ewebeditor/db/ewebeditor1033.mdb 等等。

![20170301110247319][]

很多管理员常改.asp后缀，一般访问.asp .asa 后缀的都是乱码！可以用下载工具下载下来，然后更改后缀为.mdb来查看内容！

**4、漏洞基本利用步骤，以asp为例！**

1）  登陆后台以后。选择样式管理，默认编辑器的默认样式都不可以修改的。我们可以从任意样式新建一个样式，然后在图片上传添加可上传后缀。.asa .cer .cdx 等！.asp 过滤过了。但是我们可以用.aaspsp后缀来添加，这样上传文件正好被ewebeditor 吃掉asp后缀，剩下.asp 。同样，如果遇到一个管理员有安全意识的，从代码里，把.asp .asa .cer .cdx 都完全禁止了，我们也可以用.asasaa 后缀来突破。添加完了后缀，可以在样式管理，点击预览，然后上传！

asa|cer|asp|aaspsp

Asa cer 它可以在iis6.0平台解析为asp执行

Aaspsp：绕过过滤 过滤asp aaspsp=》asp

注意：低版本ewebeditor不支持ie7.0以下版本访问（ietest软件模拟ie6.0上传）

以下以2.1.6这个版本为例来演示:

点击样式管理,然后新增样式

![20170301111102186][]

在图片类型中加入以下类型:asa|cer|asp|aaspsp

![20170301111311364][]

然后点击提交。

![20170301112230189][]

然后在工具栏里新增工具

![20170301112345613][]

![20170301112450067][]

在按钮设置里新增"插入或修改图片"

![20170301112924194][]

然后点击保存设置。然后再回去点击预览。

![20170301113112388][]

控件效果就出来了。然后直接上传一句话木马

![20170301113510769][]

点击确定，上传成功，之后，查看代码，就能看到完整的地址

![20170301113628615][]

用菜刀一连就能就OK了。。。

**2）目录遍历**

点击"上传文件管理" 然后选择样式目录。

![20170301114431155][]

在id=14后面加上&dir=../

http://192.168.87.129:8123/admin_uploadfile.asp?id=14&dir=../

![20170301114840486][]

发现没有起作用，那就是2.1.6这个版本不存在这个漏洞。换成2.8.0。2.8.0存在这个漏洞

![20170301120345663][]

能遍历目录。

![20170301120409132][]

**3）寻找前人痕迹再次入侵**

有时候用户名与密码得等不进去，但是数据库可以下载，这时候就可以看下是否有前人入侵过，如果有人入侵过的话，就可以利用下面的方法进入突破。

如何判断有前人入侵过了??下载好数据库之后查看他的eWebEditor\_style表中的S\_ImageExt字段是否有被人添加过什么。

![20170301121454590][]

使用下面的语句进入突破:

ewebeditor.asp?ID=xx&style=yy

其中的id=xx就是被修改过的那条记录的id，而yy就是S\_name字段的名字。

![20170301122159177][]

例如这里就修改成: ewebeditor.asp?ID=54&style=testckse 去访问

![20170301122336767][]

图片控件就出来了。。

**5.FCKeditor编辑器**

可以去这下载编辑器:[http://download.csdn.net/detail/u011781521/9767326][http_download.csdn.net_detail_u011781521_9767326]

**1.查看编辑器版本**

FCKeditor/\_whatsnew.html

![20170301133148251][]

**2.FCKeditor编辑器页**   
  
FCKeditor/\_samples/default.html

![20170301133225352][]

**3.常用上传地址**

FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
    FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
    FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
    FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=../../connectors/asp/connector.asp

由于这里用的是2.5的版本所以下面这条语句能用

http://192.168.87.129:8234//editor/filemanager/browser/default/browser.html?Type=Image&Connector=../../connectors/asp/connector.asp

![20170301140209859][]

如果在输入以上地址测试的过程中弹出以下的提示

![20170301141548991][]

那就是没有开启文件上传功能,要把\\editor\\filemanager\\connectors\\asp\\config.asp文件中的

Dim ConfigIsEnabled  
ConfigIsEnabled = False

设置成功true。就行了，然后上传6.asp;.jpg文件试试

![20170301141915308][]

发现他进行了过滤6.asp;.jpg改成了6\_asp;.jpg,把点改成了下划线。审查元素看下图片的路径

![20170301142348518][]

访问这个路径看下。

![20170301142449972][]

asp文件并没有被解析成功。

这就是fckeditor过滤"."为"\_"的一个机制,想要突破的话有以下两种方式：

**1.二次上传**

第一次上传：qq.asp;.jpg ==》qq\_asp;.jpg

第二次上传：qq.asp;.jpg ==》qq\_asp;.jpg (不满足命名要求)

可能出现第二次命名为 qq.asp;.(1).jpg

![20170301144717658][]

还是被过滤了。。

**2.新建上传**

手动新建一个文件夹

![20170301144347185][]

发现他还是过滤了。那我们只有突破建立文件夹了。

执行以下地址就能成功创建文件夹

/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=/fendo.asp&NewFolderName=x.asp

![20170301145746516][]

![20170301145900893][]

这又是为什么了????手动不能创建，而通过以上地址就能成功创建了，让我们来对比下，手动创建和通过以上地址创建的一个区别。

漏洞地址：

/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=/fendo.asp&NewFolderName=x.asp

手工新建：

/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=/&NewFolderName=fendo.asp

原因：

CurrentFolder：当前文件夹 未进行过滤(这个文件夹下的没有过滤)

NewFolderName：新建文件名 进行了过滤

这就是为什么通过上面地址能创建，而手动却不能创建的一个原因，然后我们再上传6.asp;.jpg到fendo.asp文件下看是否成功解析。

![20170301151146548][]

成功解析。。

[http_navisec.it_E7_BC_96_E8_BE_91_E5_99_A8_E6_BC_8F_E6_B4_9E_E6_89_8B_E5_86_8C]: http://navisec.it/%E7%BC%96%E8%BE%91%E5%99%A8%E6%BC%8F%E6%B4%9E%E6%89%8B%E5%86%8C/
[20170301110034690]: /images/20220709/82340ff033694fc99e22ed22c24f1836.png
[20170301110247319]: /images/20220709/579e57e85765453aae43e32c1574d136.png
[20170301111102186]: /images/20220709/c99c0a107b494388b0fee05183cdb60a.png
[20170301111311364]: /images/20220709/4aa9c582dc1a49fe8198c5bbb1597a37.png
[20170301112230189]: /images/20220709/cbad94d2ae4f40429c08d9ad13fca0e4.png
[20170301112345613]: /images/20220709/71c984b8c4934151a096cafaa60396c1.png
[20170301112450067]: /images/20220709/f9514a0f699f4d2aaa212c5001da844b.png
[20170301112924194]: /images/20220709/0649b17c200946e69e510993a4e1ea83.png
[20170301113112388]: /images/20220709/95b3a7c294174a4aba6286db7890621c.png
[20170301113510769]: /images/20220709/5a9c98e2b3c9494fb7d13b3d14f9d5e6.png
[20170301113628615]: /images/20220709/5658f5618e644799911c7ad50b2b3642.png
[20170301114431155]: /images/20220709/00ff99083b81476b94a081ac3fe38631.png
[20170301114840486]: /images/20220709/4a31b874741f42bd8cc3919d4af339ca.png
[20170301120345663]: /images/20220709/e86f998e984e4efcb71089bb72f10e07.png
[20170301120409132]: /images/20220709/fb85ec654f3e410d8487a0ebd0ebbbb6.png
[20170301121454590]: /images/20220709/53a79621e50a48bcb707bca4ef359470.png
[20170301122159177]: /images/20220709/6988657f90214862a63622d43100f3a1.png
[20170301122336767]: /images/20220709/4ddbe92b217b47ad96ed3dd1a4ace42c.png
[http_download.csdn.net_detail_u011781521_9767326]: http://download.csdn.net/detail/u011781521/9767326
[20170301133148251]: /images/20220709/deaad8548b564669ad784b36e4fd2a4a.png
[20170301133225352]: /images/20220709/13cad990c859467490ec864d37f80a08.png
[20170301140209859]: /images/20220709/91e726802de54f61b95703e32da23575.png
[20170301141548991]: /images/20220709/1b2eff9b5a4b4eabbe281c2fdac50eb1.png
[20170301141915308]: /images/20220709/00402ee731e74d17b5514498ba5d1254.png
[20170301142348518]: /images/20220709/962312f2f62f4bb788f47d09ed126a4b.png
[20170301142449972]: /images/20220709/8d6d5161cf5e49d9a98c3c47e3c2a3cc.png
[20170301144717658]: /images/20220709/82f6b09f837642a4a435160a270eb702.png
[20170301144347185]: /images/20220709/c767901411a84b9a837fd90bbef807a7.png
[20170301145746516]: /images/20220709/4ff5fca144494c25bcd036c64bcb9b06.png
[20170301145900893]: /images/20220709/3818712aa2424038a61081c013f1bf33.png
[20170301151146548]: /images/20220709/e4ea77f8272b454cad3520819c5f35f8.png