当心被黑 慎用eWebEditor在线编辑器(2)

    3. 上传文件漏洞

    进了后台之后能做什么呢？看左边相应的功能就知道啦，有样式管理、文件管理以及用户名密码修改，黑客感兴趣的当然是拿到网站的webshell权限啦。在该组件处理上传图片功能的upload.asp文件里看到代码如下：

 ' 任何情况下都不允许上传asp脚本文件
 sAllowExt = Replace(UCase(sAllowExt), "ASP", "")

    这样的过滤看起来很安全，实际上IIS默认用asp.dll处理的不仅仅有asp还有asa、cer、cdx、htr等等，如图3：

图3

    所以我们可以上传cer格式的木马。当然在上传之前我们得改一下样式设置，系统自带样式不允许对设置进行修改删除，但允许查看设置！你可以先"拷贝一标准样式"然后对其设置进行修改以达到快速新建样式的目的，在再其中进行设置，在图片类型那里添加一个asa格式，前面用"|"隔开，如图4：

图4

    提交之后我们点刚才的样式那里预览一下就可以上传格式为asa的木马文件了，上传成功后会在编辑那里显示一个红叉，因为它不是图片嘛，如图5：

图5

    这时候点击代码切换到代码视图就可以看到刚才你上传的木马地址了，当然也可以去上传文件管理那里看到刚才上传的木马文件了，最后得到webshell，如图6：

图6

    eWebEditor在线编辑器可以设置上传路径，极大的方便了建站工作者，不过其过滤不严格，导致我们可以利用它浏览整个网站目录或者跳到其它目录并且可以删除服务器文件。漏洞文件admin_style.asp相关代码如下：

 If sStyleUploadDir = "" Or Get_TrueLen(sStyleUploadDir) > 50 Then
  Go_Error "上传路径不能为空，且不大于50个字符长度！"
 End If
 If IsSafeStr(sStyleUploadDir) = False Then
  Go_Error "上传路径请勿包含特殊字符！"
 End If

    对上传路径判断了不能为空且不能超过50个长度字符，并且用了IsSafeStr()函数进行检测，IsSafeStr()函数在Include/Startup.asp文件中代码如下：

Function IsSafeStr(str)
 Dim s_BadStr, n, i
 s_BadStr = "' 　&<>?%,;:()`~!@#$^*{}[]|+-=" & Chr(34) & Chr(9) & Chr(32)
 n = Len(s_BadStr)
 IsSafeStr = True
 For i = 1 To n
  If Instr(str, Mid(s_BadStr, i, 1)) > 0 Then
   IsSafeStr = False
   Exit Function
  End If
 Next
End Function

    过滤了许多特殊字符，但是没有过滤脚本攻击中经常用到的跳转目录的"../"或者直接转到网站根目录的"/"字符。简单说下利用方法，拷贝一份样式进行设置，将其上传路径设置为"/"，如图7：

图7

    提交之后点上传文件管理选择刚才设置的样式就可以看到网站根目录的文件并且可以删除文件与文件夹了，如图8：

图8

    再把上传路径修改为../这样子的试下就可以进行目录跳转了，如果你的服务器有这样的漏洞，你说恐怖不恐怖？

[上一页]　[1]　[2]　[3]　[下一页]