1、网页编辑器漏洞大全涵盖了诸如常见的FCKeditor、eWebEditor、Cuteditor、Freetextbox、Webhtmleditor、Kindeditor、所谓的eWebEditorNET、所谓的 southidceditor、所谓的bigcneditor BY:Hell-Phantom2009-11-7目录FCKeditor 2FCKeditor 编辑器页/查看编辑器版本 /查看文件上传路径 .2FCKeditor 被动限制策略所导致的过滤不严问题 2利用 2003 路径解析漏洞上传网马 3FCKeditor PHP 上传任意文件漏洞 3TYPE 自定义变量任意上传文件漏洞 3
2、FCKeditor 新闻组件遍历目录漏洞 .4FCKeditor 中 webshell 的其他上传方式 .4FCKeditor 文件上传“. ”变“ _”下划线的绕过方法： 4eWebEditor.5eWebEditor 利用基础知识 5ewebeditor 踩脚印式入侵 .6ewebeditor 遍历目录漏洞 .6ewebeditor 5.2 列目录漏洞 6利用 WebEditor session 欺骗漏洞, 进入后台 .6ewebeditor asp 版 2.1.6 上传漏洞 7eWebEditor 2.7.0 注入漏洞 7Ewebeditor2.8.0 最终版删除任意文件漏洞 .7ewe
3、beditor v6.0.0 上传漏洞 .7eWebEditor PHP/ASP后台通杀漏洞 7eWebEditor JSP 版漏洞 8eWebEditorNet upload.aspx 上传漏洞(就是 EWEB 的 ASPX 版而已, 不是其他的编辑器) 8southidceditor(还是 eWeb 核心，一般使用 v2.8.0 版) .8bigcneditor8Cute Editor9Cute Editor 在线编辑器本地包含漏洞 .9Webhtmleditor .9利用 WIN 2003 IIS 文件名称解析漏洞获得 SHELL .9Kindeditor .10与 Webhtmledi
4、tor 同样的问题 .10Freetextbox.10Freetextbox 遍历目录漏洞 10附 录 C 包 含 一 份 未 完 善 的 小 字 典Comment Hell1: 截至 09年 8月 4日最新版本为 FCKeditor v2.6.4.1Comment Hell2: 记得修改其中两处asp为 FCKeditor实际使用的脚本语言Comment Hell3: 原作：http:/ Hell4: 记得修改其中两处asp为 FCKeditor实际使用的脚本语言FCKeditorFCKeditor编辑器页/查看编辑器版本 /查看文件上传路径FCKeditor编辑器页FCKeditor/_s
5、amples/default.html查看编辑器版本FCKeditor/_whatsnew.html查看文件上传路径fckeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles.jpg会变为 shell_php;.jpg这是新版 FCK的变化。攻击利用:提交 1.php+空格 就可以绕过去所有的,不过空格只支持 win系统 *nix是不支持的1.php 和 1.php+空格是 2个不同的文件FCKeditor 二次上传漏洞影响版本:=2.4.x 的最新版已
6、修补脆弱描述:来源:T00LS.Net由于 Fckeditor对第一次上传 123.asp;123.jpg 这样的格式做了过滤。也就是 IIS6解析漏洞。上传第一次。被过滤为 123_asp;123.jpg 从而无法运行。但是第 2次上传同名文件 123.asp;123.jpg后。由于”123_asp;123.jpg” 已经存在。文件名被命名为 123.asp;123(1).jpg 123.asp;123(2).jpg这样的编号方式。所以。IIS6 的漏洞继续执行了。如果通过上面的步骤进行测试没有成功，可能有以下几方面的原因：1.FCKeditor没有开启文件上传功能，这项功能在安装 FCKe
7、ditor时默认是关闭的。如果想上传文件，FCKeditor 会给出错误提示。2.网站采用了精简版的 FCKeditor，精简版的 FCKeditor很多功能丢失，包括文件上传功能。3.FCKeditor的这个漏洞已经被修复。eWebEditor eWebEditor 利用基础知识默认后台地址：/ewebeditor/admin_login.asp建议最好检测下 admin_style.asp 文件是否可以直接访问默认数据库路径：PATH/db/ewebeditor.mdbPATH/db/db.mdb - 某些 CMS 里是这个数据库也可尝试 PATH/db/%23ewebeditor.mdb
8、 - 某些管理员自作聪明的小伎俩使用默认密码：admin/admin888 或 admin/admin 进入后台，也可尝试 admin/123456 （有些管理员以及一些 CMS，就是这么设置的）点击“样式管理”-可以选择新增样式，或者修改一个非系统样式，将其中图片控件所允许的上传类型后面加上|asp、|asa、|aaspsp 或|cer ，只要是服务器允许执行的脚本类型即可，点击“提交”并设置工具栏-将“插入图片”控件添加上。而后 -预览此样式，点击插入图片，上传 WEBSHELL，在“代码”模式中查看上传文件的路径。2、 当数据库被管理员修改为 asp、asa 后缀的时候，可以插一句话木马
9、服务端进入数据库，然后一句话木马客户端连接拿下 webshell3、 上传后无法执行？目录没权限？帅锅你回去样式管理看你编辑过的那个样式，里面可以自定义上传路径的！4、 设置好了上传类型，依然上传不了麽？估计是文件代码被改了，可以尝试设定“远程类型”依照 6.0 版本拿 SHELL 的方法来做（详情见下文） ，能够设定自动保存远程文件的类型。5、不能添加工具栏，但设定好了某样式中的文件类型，怎么办？这么办！(请修改 action 字段).htmlewebeditor 踩脚印式入侵脆弱描述：当我们下载数据库后查询不到密码 MD5 的明文时，可以去看看 webeditor_style(14)这个样
10、式表，看看是否有前辈入侵过 或许已经赋予了某控件上传脚本的能力，构造地址来上传我们自己的 WEBSHELL.攻击利用:比如 ID=46 s-name =standard1构造 代码: ewebeditor.asp?id=contentjavascript:alert(document.cookie=“adminpass=“+escape(“admin“);javascript:alert(document.cookie=“admin=“+escape(“1“);而后三次回车,清空浏览器的 URL,现在输入一些平常访问不到的文件如 ./ewebeditor/admin/default.php，就
11、会直接进去。eWebEditor JSP版漏洞大同小异，我在本文档不想多说了，因为没环境测试，网上垃圾场那么大，不好排查。用 JSP编辑器的我觉得 eweb会比 FCKeditor份额少得多。给出个连接：http:/ upload.aspx 上传漏洞( 就是 EWEB 的 ASPX 版而已,不是其他的编辑器)脆弱描述：WebEditorNet 主要是一个 upload.aspx 文件存在上传漏洞。攻击利用:默认上传地址：/ewebeditornet/upload.aspx可以直接上传一个 cer 的木马如果不能上传则在浏览器地址栏中输入 javascript:lbtnUpload.click(
12、);成功以后查看源代码找到 uploadsave 查看上传保存地址，默认传到 uploadfile 这个文件夹里。southidceditor(还是 eWeb 核心，一般使用 v2.8.0 版)http:/www.网址.com/admin/southidceditor/datas/southidceditor.mdbhttp:/www.网址.com/admin/southidceditor/admin/admin_login.asphttp:/www.网址.com/admin/southidceditor/popup.aspbigcneditor其实所谓的 Bigcneditor 就是 eWe
13、bEditor 2.7.5 的 VIP 用户版.之所以无法访问admin_login.asp，提示“权限不够 ”4 字真言，估计就是因为其授权“Licensed”问题,或许只允许被授权的机器访问后台才对。或许上面针对 eWebEditor v2.8 以下低版本的小动作可以用到这上面来.貌似没多少动作Comment Hell9: 羞愧啊羞愧 大叔Comment Hell10: 偶然在 CB看软文发现此编辑器，遂下载测试。据官方声明，此编辑器应用于各大知名网站后台。Cute EditorCute Editor在线编辑器本地包含漏洞影响版本:CuteEditor For Net 6.4脆弱描述：可以
14、随意查看网站文件内容，危害较大。攻击利用: http:/www.TEST.com/CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=/web.configWebhtmleditor利用 WIN 2003 IIS文件名称解析漏洞获得 SHELL影响版本：然后增加任意后缀测试,a.php.aaa,a.php.aabBy cloie, in (c) Security.附录 B：安装了 iis6 的服务器(windows2003)，受影响的文件名后缀有.asp .asa .cdx .cer .pl .php .cgi Windows 2003 E
15、nterprise Edition 是微软目前主流的服务器操作系统。 Windows 2003 IIS6 存在着文件解析路径的漏洞，当文件夹名为类似 hack.asp 的时候（即文件夹名看起来像一个 ASP 文件的文件名） ，此时此文件夹下的任何类型的文件(比如.gif，.jpg，.txt 等)都可以在IIS 中被 当做 ASP 程序来执行 。这样黑客即可上传扩展名为 jpg 或 gif 之类的看起来像是图片文件的木马文件，通过访问这个文件即可运行木马。如果这些网站中有任何一个文件夹的名字是以 .asp .php .cer .asa .cgi .pl 等结尾，那么放在这些文件夹下面的任何类型的文件都有可能被认为是脚本文件而交给脚本解析器而执行。附录 C：DIC 一份有待完善Dic.txt
