UEditor于近日被曝出高危漏洞,包括目前官方UEditor 1.4.3.3 最新版本,都受到此漏洞的影响,ueditor是百度官方技术团队开发的一套前端编辑器,可以上传图片,写文字,支持自定义的html编写,移动端以及电脑端都可以无缝对接,自适应页面,图片也可以自动适应当前的上传路径与页面比例大小,一些视频文件的上传,开源,高效,稳定,安全,一直深受站长们的喜欢。

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第1张

百度的UEditor文本编辑器,近几年很少被曝出漏洞,事情没有绝对的,总会有漏洞,这次被曝出的漏洞是.net版本的,其他的php,jsp,asp版本不受此UEditor的漏洞的影响,.net存在任意文件上传,绕过文件格式的限制,在获取远程资源的时候并没有对远程文件的格式进行严格的过滤与判断,攻击者可以上传任意文件包括脚本执行文件,包括aspx脚本木马,asp脚本木马,还可以利用该UEditor漏洞对服务器进行攻击,执行系统命名破坏服务器,由于漏洞危害严重性较高,受害网站较多,对于该漏洞的分析与复现如下:

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第2张

我们下载官方UEditor 1.4.3.3版本,选择.net语言的,看最后更新日期是2016-05-26,我们找台服务器搭建一下aspx环境,安装iis7.5,我们在上传文件的时候构造一个恶意的html文件,有利于我们提交数据过去:

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第3张

然后我们打开html看到,需要一个远程链接的文件,这里我们可以找一个图片脚本木马,最好是一句话图片小马,把该小马文件上传到我们的网站服务器里,把文件名改为anquan.jpg?.aspx,然后复制网站链接到构造的html中去,如下图:

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第4张

点击submit,直接上传成功,并返回我们的aspx脚本木马路径地址,我们打开就可以使用了。

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第5张

UEdito漏洞分析

那么UEdito漏洞到底是如何产生的呢?最主要的还是利用了IIS的目录解压功能,在解压的同时会去访问控制器文件,包括controller.aspx文件,当上传到网站里的时候,会自动解压并调用一些特殊应用的目录地址,有些目录都可以被远程的调用,我们看下面的代码:

网站漏洞修复之最新版本UEditor漏洞 网站服务器 漏洞  第6张

那么该如何对UEdito漏洞进行网站漏洞修复呢?

1.目前临时的漏洞修复是建议,把文件上传目录设置无脚本执行权限,uploadvideo、uploadimage、catchimage、uploadscrawl、uploadfile、等等目录都设置上无脚本权限。

2.在百度UEditor官方没有出补丁前,设置图片目录为只读,禁止写入。

3.修改程序的源代码,对crawlerhandler源文件进行文件上传格式的严格过滤与判断。

热搜词

网站服务器 64位网站服务器配置单查看网站服务器信息小网站服务器网站服务器设置地点网站服务器端口设置网站服务器容量网站服务器选购做网站服务器在哪买网站服务器 2核适合做网站服务器的主机网站服务器可以用ftp登入吗网站服务器参数查询网站服务器备案网站服务器租用和托管网站服务器 优帮云网站服务器端口做网站服务器多少钱国内网站服务器网站服务器租web网站服务器价格erp服务器和网站服务器网站服务器死机网站服务器的维护方法网站服务器如何管理网站服务器双线双ip总有一个断开网站服务器登录网站服务器物理地址查询网站服务器香港的好还是中国的好处网站服务器多少钱一年建立个人网站服务器制作网站服务器网站服务器解决方案创建网站服务器地址网站服务器租金新闻类网站服务器很慢网站服务器摩尔多瓦网站服务器主机配置大网站服务器备份网站服务器要登录密码本网站服务器在美国维网站服务器租用 恒创租网站服务器价格香港视频网站服务器租用网站服务器收费电商网站服务器网站服务器的费用网站服务器合同网站服务器防ddos攻击最好的网站服务器网站服务器维护需要多久企业门户网站服务器棋牌网站服务器网站服务器性能测试在线查网站服务器ip 被k查网站服务器深圳网站服务器租赁测网站服务器速度网站服务器去哪买的香港视频网站服务器网站服务器怎么配置邮件服务器是不是网站服务器租一个网站服务器多少钱企业网站服务器选择网站服务器到期查询网站服务器带宽下载速度网站服务器 访问量个人网站服务器配置稳定网站服务器租用外贸网站服务器选择网站服务器台数网站服务器的工作原理网站服务器哪个好网站服务器如何搭建网站服务器数据库网站服务器需要多少带宽网站服务器登陆网站服务器哪些好网站服务器是网站的空间吗网站服务器常用端口全能网站服务器 ghost谁能ddos攻击私服网站服务器网站服务器最好的网站服务器费用电商网站服务器空间警告网站服务器在美国怎样选择网站服务器视频网站服务器经营性网站服务器在国外视频网站服务器带宽网站服务器速度测试网站服务器远程连接不上网站服务器类型查询如何攻击网站服务器建立网站服务器多少钱网站服务器和空间大小查询网站服务器提供商网站服务器技术游戏网站服务器费用怎么样全国定制网站服务器云主机