前端時間我們SINE安全對其進行全面的網(wǎng)站漏洞檢測的時候發(fā)現(xiàn)，Kindeditor存在嚴重的上傳漏洞，很多公司網(wǎng)站，以及事業(yè)單位的網(wǎng)站都被上傳違規(guī)內(nèi)容，包括一些賭博的內(nèi)容，從我們的安全監(jiān)測平臺發(fā)現(xiàn)，2019年3月份，4月份，5月份，利用Kindeditor漏洞進行網(wǎng)站攻擊的情況，日益嚴重，有些網(wǎng)站還被阿里云攔截，并提示該網(wǎng)站內(nèi)容被禁止訪問，關(guān)于該網(wǎng)站漏洞的詳情，我們來看下。

 

 

 

很多被攻擊的網(wǎng)站的后臺使用的是Kindeditor編輯器并使用upliad_json組件來進行上傳圖片以及文檔等文件，目前存在漏洞的版本是Kindeditor 4.1.5以下，漏洞發(fā)生的代碼文件是在upload_json.php代碼里，該代碼并沒有對用戶上傳的文件格式，以及大小進行安全檢測，導(dǎo)致用戶可以偽造惡意文件進行上傳，尤其html文件可以直接上傳到網(wǎng)站的目錄下，直接讓搜索引擎抓取并收錄。

 

我們來復(fù)現(xiàn)這個Kindeditor上傳漏洞，首先使用的是Linux centos系統(tǒng)，數(shù)據(jù)庫采用的是MySQL5.6，PHP版本使用的是5.4，我們將Kindeditor 4.1.5的源碼拷貝到剛搭建的服務(wù)器里去，我們進行訪問 http://127.0.0.1/Kindeditor/php/demo.php 截圖如下：

 

 

 

打開上傳頁面后，我們可以發(fā)現(xiàn)上傳的文件格式默認都是支持htm,html的包括我們上傳的html使用XSS跨站攻擊腳本代碼都是可以執(zhí)行的。攻擊者利用這個網(wǎng)站漏洞批量的進行上傳，對網(wǎng)站的快照進行劫持，收錄一些非法違規(guī)的內(nèi)容URL。

 

如何判斷該網(wǎng)站使用的是Kindeditor編輯器呢？

 

1.kindeditor/asp/upload_json.asp?dir=file

 

2.kindeditor/asp.net/upload_json.ashx?dir=file

 

3.kindeditor/jsp/upload_json.jsp?dir=file

 

4.kindeditor/php/upload_json.php?dir=file

 

還有一個可以上傳Webshell的漏洞，可以將asp,php等腳本文件直接上傳到網(wǎng)站的目錄下，利用方式首先上傳一個圖片，然后打開文件管理找到我們剛才上傳的圖片名字，點擊改名這里，我們用火狐瀏覽器進行查看元素，找到FORM表單，將后綴名為JPG的改成PHP,然后點擊修改，就可以導(dǎo)致圖片文件被改成腳本執(zhí)行了。

 

 

 

Kindeditor網(wǎng)站漏洞修復(fù)方案以及辦法

 

該漏洞影響范圍較廣，攻擊較多，一般都是公司企業(yè)網(wǎng)站以及政府事業(yè)單位，攻擊者利用上傳漏洞對其上傳一些菠菜賭博棋牌等內(nèi)容的html文件來進行百度快照的劫持，建議將上傳功能進行刪除，或者對代碼里的上傳格式進行限制，去掉html,htm的上傳權(quán)限，只允許上傳圖片格式以及word文本。如果對網(wǎng)站代碼不是太熟悉的話，可以找專業(yè)的安全公司來處理，國內(nèi)也就Sinesafe公司和綠盟、啟明星辰、深信服等網(wǎng)站安全公司比較專業(yè)。