ueidtor安全漏洞_网站漏洞修复之UEditor漏洞 任意文件上传漏洞 2018 .net新

原标题：网站漏洞修复之UEditor漏洞 任意文件上传漏洞 2018 .net新

UEditor于近日被曝出高危漏洞，包括目前官方UEditor 1.4.3.3 最新版本，都受到此漏洞的影响，ueditor是百度官方技术团队开发的一套前端编辑器，可以上传图片，写文字，支持自定义的html编写，移动端以及电脑端都可以无缝对接，自适应页面，图片也可以自动适应当前的上传路径与页面比例大小，一些视频文件的上传，开源，高效，稳定，安全，一直深受站长们的喜欢。

百度的UEditor文本编辑器，近几年很少被曝出漏洞，事情没有绝对的，总会有漏洞，这次被曝出的漏洞是.net版本的，其他的php,jsp,asp版本不受此UEditor的漏洞的影响，.net存在任意文件上传，绕过文件格式的限制，在获取远程资源的时候并没有对远程文件的格式进行严格的过滤与判断，攻击者可以上传任意文件包括脚本执行文件，包括aspx脚本木马，asp脚本木马，还可以利用该UEditor漏洞对服务器进行攻击，执行系统命名破坏服务器，由于漏洞危害严重性较高，受害网站较多，对于该漏洞的分析与复现如下：

我们下载官方UEditor 1.4.3.3版本，选择.net语言的，看最后更新日期是2016-05-26，我们找台服务器搭建一下aspx环境，安装iis7.5,我们在上传文件的时候构造一个恶意的html文件&#