未完成的编辑器漏洞实例

投稿至：BUC（中国白客联盟）

https://www.chinabaiker.com/forum.php//论坛地址

_雨中的泪

此次靶场练习过程一波三折，技术含量不高，但过程中遇到的种种问题对我的能力有所提高，正好投给猫哥，希望可以加入BUC白客联盟，一起学习。（听说加入白客联盟能发家致富，走上人生巅峰，迎接白富美。。。）

靶场地址http://172.16.1.209

0x01 第一关

找到flag01

居然是下象棋的，查看源代码也未发现什么有用的东西，或许跟这个游戏有什么关系呢，那就玩玩吧

玩不过程序啊，以后怎么跟女朋友爷爷愉快的聊天啊，抽空学下象棋去。

和程序玩了一把后，得到了flag01与提示

0x02 第二关

御剑一阵乱扫，挨个翻着看

http://172.16.1.209/123.asp别人的网马（后来才知道原来是提示文件）

以后看到一些类似123.asp之类没有规则命令的文件尽量去看看也许会得到意想不到的信息

提示密码字典就在网站根目录下的baopozidian.rar里

那是否可以下载下来破解呢

先下载试试吧

下载下来后看下是什么

密码字典有了 接下来需要爆破 那就用burp吧

设置代理 127.0.0.1 8080端口

这里和浏览器设置的端口要一致

加载密码字典

On 开启代理

随便输入一个密码

Burp抓到包以后右键或者点击Action发送到破解模块

点击Clear$ 清除默认的变量

选中admin

点Add$添加为变量

启动爆破

爆破完成后会发现ponkylai790824的length值为405与其他很多值不一样，确定ponkylai790824为123.asp的密码

测试一下

进来后发现马功能不是很强，写个一句话然后用菜刀传一个好点的马吧

菜刀连接后找到了flag02

0x03 第三关

目标：在C盘根目录下找到flag03

这还不简单？

提示没有权限

找到了可写可读的目录

C:\RECYCLER （回收站目录）

上传个CMD添加用户试试

可以执行CMD 那就添加用户

接着用CMD添加用户失败

那就再传个pr来添加用户

加入管理员组

这下好了 看看3389开了没

连接试试

进来了后到C盘找flag03

0x04 第四关

先看内网地址

挨个测试发内网192网段除了本机192.168.2.3之外只有一台192.168.2.2 找下敏感信息

找到flag04

flag04: 649ffa2b3ff8c02e

并提示：编辑器目录名为： cnitc_editor

0x04 第五关

编辑器目录前面已经找到了

找到了版本信息 2.6.3

http://192.168.2.2/cnitc_editor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=http://192.168.2.2%2Fcnitc_editor%2Feditor%2Ffilemanager%2Fconnectors%2Fasp%2Fconnector.asp 找到上传页面

新建1.asp文件夹后会被自动改名为1_asp

百度一下2.6.3版本漏洞发现另一种方法

原文链接：

http://www.myhack58.com/Article/html/3/62/2012/33638.htm

输入以下url地址会自动新建qing.asp文件夹并在该目录下新建x.asp文件夹

http://192.168.2.2/cnitc_editor/editor/FCKeditor/editor/filemanager/connectors/asp/connector.asp?Command=CreateFolder&Type=Image&CurrentFolder=/qing.asp&NewFolderName=x.asp

找到文件夹路径uploadfile/image/qing.asp/

然后在该目录下上传一个一句话图片木马，利用IIS解析漏洞菜刀连接

菜刀连接

组合路径为  http://192.168.2.2/uploadfile/image/qing.asp/2016032203493051.gif

也懒得管菜刀有没有后门了

找到flag05

Ps:

0x06 第六关

蛋疼的时候到了

C盘D盘网站根目录 搜了一遍又一遍翻了一遍又一遍 就是找不到flag06

Samples文件夹下各种翻

头疼

算了 今天到这里吧 我晚上再试试。

至此靶场练习结束，总结下来本文中用到了

1.  一些网络资源扫描工具的利用（御剑，scan.exe）

2.  burp爆破webshell，菜刀

3.  pr提升权限

4.  mstsc  /admin突破连3389,（本文中未截图）内网信息的收集

5.  FCK编辑器获取版本和上传页面

6.  FCK编辑器2.6.3突破上传带"."的文件或文件夹自动改名为"_"的方法

7.  IIS解析漏洞（1.asp文件夹下的jpg等文件仍被解析成asp文件）

猫哥，本文章技术含量不高，希望能在白客团队里学习到更多的技术。

      

2016年3月21日 21:02:53

_雨中的泪

blackflame

做得很细致，点个赞！

blackflame 发表于 2016-3-26 15:42
做得很细致，点个赞！

呼呼，一起学习

ERROR:

点个赞，猫哥好