ue编辑器漏洞_UEditor编辑器两个版本任意文件上传漏洞分析

*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。

前言

UEditor是一款所见即所得的开源富文本编辑器，具有轻量、可定制、用户体验优秀等特点，被广大WEB应用程序所使用。本次爆出的高危漏洞属于.NET版本，其它的版本暂时不受影响。漏洞成因是在抓取远程数据源的时候未对文件后缀名做验证导致任意文件写入漏洞，黑客利用此漏洞可以在服务器上执行任意指令，综合评级高危。由于时间仓促，本文分析不到位的地方还请多多谅解。

漏洞利用

本地构造一个html，因为不是上传漏洞所以enctype 不需要指定为multipart/form-data ， 之前见到有poc指定了这个值。完整的poc如下

shell addr:

需准备一个图片马儿，远程shell地址需要指定扩展名为 1.gif?.aspx

成功返回webshell

漏洞分析

在本地IIS中将目录快速指向到解压后的目录，再访问controller.ashx 控制器文件。当出现下图的时候表示编辑器成功运行。

控制器中存在多个动作的调用，包含了uploadimage、uploadscrawl、uploadvideo、uploadfile、catchimage等等

这些动作默认情况