FCKeditor是一款很优秀的富文本编辑器，优秀指的是它的功能性，确实比我以前见过的所有富文本编辑器都要好，功能强大，界面优美。但是，FCKeditor却存在文件上传漏洞，本文记录了一次利用其文件上传漏洞拿站提权的过程。

直接上谷歌：

这个路径是FCKeditor文件上传界面的路径。搜索到了几千个结果，如下图所示：

随便打开一个看看，如下图所示。

成功的进入到了浏览文件与上传文件页面。仔细观察已有文件，发现有如下文件：

看来这个网站已经有前辈捷足先登了。查阅资料可知，FCKeditor上传文件后按类别将不同文件保存在不同地方，默认地，分别是：

打开其中一个看看吧：http://www.artegijon.com/UserFiles/File/shell.html ，打开后看到，确实是黑页：

这样的黑页还有好多，就不一一展示了。现在考虑如何拿shell。

尝试打开已有的长得像webshell的文件，全部报500错误。上传文件试试，先上传xxx.php文件，报错，看来是有过滤的，再上传xxx.php3和xxx.php4文件，上传成功，但打开后显示500页面，看来是没有解析漏洞的。

又尝试上传xx.phP文件，也不让上传，看来靠大小写是绕不过去了。上传xxx.php ，成功，访问之，又报500（这次是xxx.php后面加一个空格）。

怎么办呢？一时陷入了僵局。试试.htaccess文件吧，上传内容如下所示的.htaccess文件。

竟然上传成功了。接着上传aaa.gif文件，上传成功，访问之，依旧是500。又尝试1.asp和1.jsp，都上传失败。

又在Media中看到了压缩包MARIO.zip，不知是什么，下载下来，结果还真是几个视频，没什么用。

又抓包，将上传文件时的

改为

结果还是不行。各种手段已经用尽，没有办法，只好放弃。那些挂黑页的难道只是简简单单上传黑页，连webshell都没拿到，还是漏洞已经修补过了？

在谷歌搜索结果中另打开一个网站。这次往后翻几页，打开：

http://admin.balaton.cn/FCKeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=connectors/php/connector.php&ServerPath=/partner_contents/2681，

域名后缀虽然是.cn，但看IP地址，却在匈牙利。这家网站的难点在于，文件上传后没有保存在默认位置。我们该如何确定文件路径呢？我们已经知道该网站有哪些文件了，选取其中一个名字较为特别的，如：5.WK_versenykiiras.doc，然后用谷歌搜索：

利用强大的谷歌找到该文件，便也就知道了它的路径，从而知道了所有上传文件的路径。找到后发现，父目录是/partner_contents/2681/File/，原来在URL里已经写着了。

该网站中看到如下图所示的文件，其中应该有几个webshell：

尝试打开wso22.php等几个以.php结尾的文件，发现结果是404。打开aaa.php.owf，返回空白页面，查看源码：

是个一句话木马。要说该文件被解析成php执行了，我应该看不到源码，要说被当做txt返回，应该看到的不是空白页面。死马当活马医，用菜刀连得试试，果然是不行的嘛 🙂

再打开wso2.php.fla，又hi空白页面，查看源码，看到是个webshell：