搜索

[2087] 2018-08-22_UEditor编辑器两个版本任意文件上传漏洞分析

文档创建者：s7ckTeam
浏览次数：53
最后更新：2025-01-16
2018-08-22_UEditor编辑器两个版本任意文件上传漏洞分析 U E d i t o r 编 辑 器 两 个 版 本 任 意 文 件 上 传 漏 洞 分 析 I v a n   d o t N e t 安 全 研 究 僧   2 0 1 8 - 0 8 - 2 2 0 x 0 1   前 言 前 言 U E d i t o r 是 一 款 所 见 即 所 得 的 开 源 富 文 本 编 辑 器 ， 具 有 轻 量 、 可 定 制 、 用 户 体 验 优 秀 等 特 点 ， 被 广 大 W E B 应 用 程 序 所 使 用 ； 本 次 爆 出 的 高 危 漏 洞 属 于 . N E T 版 本 ， 其 它 的 版 本 暂 时 不 受 影 响 。 漏 洞 成 因 是 在 抓 取 远 程 数 据 源 的 时 候 未 对 文 件 后 缀 名 做 验 证 导 致 任 意 文 件 写 入 漏 洞 ， 黑 客 利 用 此 漏 洞 可 以 在 服 务 器 上 执 行 任 意 指 令 ， 综 合 评 级 高 危 。 由 于 时 间 仓 促 ， 本 文 分 析 不 到 位 的 地 方 还 请 多 多 谅 解 。 0 x 0 2   漏 洞 利 用 漏 洞 利 用 笔 者 本 地 测 试 的 编 辑 器 是 百 度 官 方 下 载 最 新 的 版 本 1 . 4 . 3 . 3   h t t p : / / u e d i t o r . b a i d u . c o m / w e b s i t e / d o w n l o a d . h t m l 本 地 构 造 一 个 h t m l ， 因 为 不 是 上 传 漏 洞 所 以 e n c t y p e   不 需 要 指 定 为 m u l t i p a r t / f o r m - d a t a   ，   之 前 见 到 有 p o c 指 定 了 这 个 值 。 完 整 的 p o c 如 下 < f o r m   a c t i o n = " h t t p : / / x x x x x x x x x / c o n t r o l l e r . a s h x ? a c t i o n = c a t c h i m a g e " e n c t y p e = " a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d "     m e t h o d = " P O S T " >     < p > s h e l l   a d d r : < i n p u t   t y p e = " t e x t "   n a m e = " s o u r c e [ ] "   / > < / p   >     < i n p u t t y p e = " s u b m i t "   v a l u e = " S u b m i t "   / > < / f o r m > 需 准 备 一 个 图 片 马 儿 ， 远 程 s h e l l 地 址 需 要 指 定 扩 展 名 为   1 . g i f ? . a s p x 成 功 返 回 w e b s h e l l
0 x 0 3   漏 洞 分 析 漏 洞 分 析 在 本 地 I I S 中 将 目 录 快 速 指 向 到 解 压 后 的 目 录 ， 再 访 问 c o n t r o l l e r . a s h x   控 制 器 文 件 。 当 出 现 下 图 的 时 候 表 示 编 辑 器 成 功 运 行 。 控 制 器 中 存 在 多 个 动 作 的 调 用 ， 包 含 了 u p l o a d i m a g e 、 u p l o a d s c r a w l 、 u p l o a d v i d e o 、 u p l o a d f i l e 、 c a t c h i m a g e 等 等 这 些 动 作 默 认 情 况 下 都 可 以 远 程 访 问 ， 不 排 除 还 有 新 的 高 危 漏 洞 ； 这 篇 文 章 重 点 来 介 绍 c a t c h i m a g e 这 个 分 支 条 件 ， 由 于 它 实 例 化 了 C r a w l e r H a n d l e r 这 个 类 ， 所 以 需 要 跟 进 这 个 一 般 处 理 程 序 类
第 一 行 就 获 取 了 外 界 传 入 的 s o u r c e [ ]   数 组 ， 核 心 调 用 位 于   C r a w l e r s   =   S o u r c e s . S e l e c t ( x = >   n e w   C r a w l e r ( x ,   S e r v e r ) . F e t c h ( ) ) . T o A r r a y ( ) ;   通 过 这 段 l a m b d a 表 达 式 来 调 用 类 里 的 方 法 执 行 后 的 结 果   ， 如 下 图 跟 进 F e c t h 方 法 体 内 首 先 通 过 I s E x t e r n a l I P A d d r e s s 方 法 判 断 是 否 是 一 个 可 被 D N S 解 析 的 域 名 地 址 ， 如 果 不 是 就 终 止 运 行 ， 逻 辑 代 码 如 下
这 句 判 断 就 是   1 . 5 . 0 开 发 版 本 （ h t t p s : / / g i t h u b . c o m / f e x - t e a m / u e d i t o r / b l o b / d e v - 1 . 5 . 0 / n e t / A p p _ C o d e / C r a w l e r H a n d l e r . c s ） 和 官 方 发 布 版 本 1 . 4 . 3 . 3 最 大 的 区 别 ， 在 1 . 5 . 0 版 本 中 删 除 了 此 处 的 判 断 ， 导 致 在 任 意 一 个 i p 地 址 或 域 名 下 都 可 以 执 行 e x p 如 下 图 相 对 来 说 1 . 5 . 0 版 本 更 加 容 易 触 发 此 漏 洞 ； 而 在 1 . 4 . 3 . 3 版 本 中 攻 击 者 需 要 提 供 一 个 正 常 的 域 名 地 址 就 可 以 绕 过 此 处 判 断 ； 然 后 进 入 第 二 个 条 件 判 断   ：   对 文 件 C o n t e n t T y p e 的 识 别 这 段 代 码 很 眼 熟 ， 一 般 常 见 于 p h p 文 件 上 传 的 时 候 对 文 件 头 的 判 断 ， 这 段 代 码 很 容 易 绕 过 ， 只 需 要 构 造 一 张 图 片 马 儿 就 可 以 绕 过 它 的 判 断 ， 或 者 构 造 一 个 g i f 8 9 的 假 图 片 也 可 以 绕 过 ； 最 后 编 辑 器 根 据 配 置 文 件 的 信 息 创 建 对 应 的 目 录 结 构 再 保 存 文 件 ， 代 码 如 下
至 此 R C E 漏 洞 原 理 大 致 已 经 清 楚 明 了 ， 期 待 官 方 尽 快 发 布 漏 洞 补 丁 程 序 。 0 x 0 4   防 御 措 施 防 御 措 施 1 .       修 改 C r a w l e r H a n d l e r . c s   增 加 对 文 件 扩 展 名 的 ； 2 .       I P S 等 防 御 产 品 可 以 加 入 相 应 的 特 征 ；
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理