彻底禁用fckEditor的上传功能(含防止Type漏洞问题)

sucn| 阅读:473 发表时间:2010-02-25 经验技巧

抄录如下:

环境以Asp.net开发来进行讲解,步骤如下:

1、获取文件

我们可以从http://www.fckeditor.net/download下载两个压缩文件,第一个是FCKeditor.Net,最新版本是2.5,它主要包含C#的源

码,及DLL文件,我们把DLL复制到BIN目录并将DLL添加到工具箱中,方便使用。另一个是FCKeditor 2.6,里面包含的是FCKeditor

的脚本文件,样式,语言等FCKeditor的杂项。我们可以对它进行精简后,拷到WEB根目录下就可以了。


2、FCKeditor的精简

FCKeditor是支持多种WEB语言的,我们可以针对自己使用的语言来进行简化,将不使用的文件删掉,将FCKeditor_2.6解压后,进入

到 FCKeditor文件夹下,先把以“_”为开头的文件夹统统删除,这些文件夹里放的是范例或是一些其它工具。其实也就是只保留

editor文件夹、fckconfig.js、fckeditor.js、fckstyles.xml、fcktemplates.xml 就可以了,最外层的精简化完毕。

进入到editor文件夹内,先把“_source”文件夹删除,这里是一些源文件,对于使用来说没什么用处。再进入lang文件夹内,这里

是编辑器语言外包文件,只保留 zh-cn.js、en.js、zh.js这几个文件,这几个文件的含义我想大家都是知道的。当然如果需要其它

语言也可以留下来。


再进入skin文件夹,这是编辑器的皮肤,如果你想使用fckeditor默认的这种奶黄色,如果想用别的,那就自己考虑了。office2003

的皮肤比较漂亮,听说加载时速度比较慢,也可以选那择silver,也比较好配色,速度也快。

精简的最后一步,退出skin文件夹,再进入filemanager,进入到 connectors目录下,保留aspx目录,其它全部删除。

精简工作完成,现在看起来就赏心悦目了!


3、对编辑器进行配置,

我们将编辑器控件拖到网页中是是不能正确运行的,必要要对其进行配置。第一个配置文件是fckconfig.js,位于FCKeditor根目录

下。修改项包括:

FCKConfig.SkinPath = FCKConfig.BasePath + 'skins/silver/' ;(皮肤)

FCKConfig.AutoDetectLanguage    = true ;(自动检测语言)

FCKConfig.DefaultLanguage        = 'zh-cn' ;(默认为简体中文)

选择aspx就行

var _FileBrowserLanguage    = 'aspx' ;    // asp | aspx | cfm | lasso | perl | php | py (用来浏览上传文件)

var _QuickUploadLanguage    = 'aspx' ;    // asp | aspx | cfm | lasso | perl | php | py (用来上传文件)

如果想设置编辑器的浏览功能,如浏览图片、Flash,设置上传功能,如图片、Flash上传,可以设置为启用与禁用,true为启用 


false禁用。

FCKConfig.LinkBrowser = true;

FCKConfig.ImageBrowser = true ;

FCKConfig.FlashBrowser = true ;

FCKConfig.LinkUpload = true ;

FCKConfig.ImageUpload = true ;

FCKConfig.FlashUpload = true ;


如果你的编辑器还用在网站前台的话,比如说用于留言本或是日记回复时,那就不得不考虑安全了,在前台千万不要使用Default的

toolbar,要么自定义一下功能,要么就用系统已经定义好的Basic,禁用文件上传等其它比较危险的功能。当然也可以自定义,选择

适合自己的功能。至于怎么选,可以对照fckconfig.js文件中FCKConfig.ToolbarSets["Default"]、FCKConfig.ToolbarSets

["Basic"]的配置,应该是比较容易做到的。不用讲解!


4、文件上传的设置

在文件上传时,我们希望将文件上传到指定的目录中,而且必须是经过验证的用户才能上传文件,我们可以

在filemanager\connectors\aspx目录中的config.ascx文件中进行设置,首先为了防止没经过验证的用户上传木马文件,我们可以

在CheckAuthentication()方法中加上对当前用户认证,成功后返回true即可;在SetConfig()方法中,可以设置UserFilesPath来指

定保存上传文件的路径。上传文件可以按目录自动保存到对应的目录中,如: File, Image, Flash, Media ,设置后结构如下

UserFilesPath = "~/Upload/",WEB根目录下的Upload目录中。

~/Upload

       |-File

       |-Image

       |-Flash

       |-Media 


另外, 上传时有个Type漏洞,


出现上传漏洞的地址是:

http://www.xxx.com/admin/FCKeditor/editor/filemanager/browser/default/browser.html?Type=all&Connector=connectors/aspx/connector.aspx

打开这个地址就可以上传任何类型的文件了,马儿上传到的位置是:

http://www.xxx.com/UserFiles/all/1.asa

"Type=all" 这个变量是自己定义的,在这里创建了all这个目录,而且新的目录没有上传文件格式的限制.

比如输入:

http://www.xxx.com/admin/FCKeditor/editor/filemanager/browser/default/browser.html?Type=monyer&Connector=connectors/aspx/connector.aspx

所传的文件就到了 http://www.xxx.com/UserFiles/monyer/ 下了

而如果这样输入:http://www.xxx.com/admin/FCKeditor/editor/filemanager/browser/default/browser.html?Type=../&Connector=connectors/aspx/connector.aspx

就可以传到网站的根目录下,网站支持什么脚本,传什么脚本的马就可以了.

所传的文件就到了网站根目录下了


解决方案,删除"FCKeditor\editor\filemanager"


www.cnblogs.com/WoodFish/archive/2008/05/11/1192304.html

*文章为原作者独立观点,不代表网站的立场
本文由网站发表并编辑,转载此文章须经作者同意,并请附上出处及本页链接。如有侵权,请联系本站删除。

友情连接