KindEditor网站编辑器组件上传漏洞利用预警示例分析
KindEditor网站编辑器组件上传漏洞利用预警示例分析,针对这个问题,这篇文章详细介绍了相对应的分析和解答,希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。
0x00 漏洞背景
2019年02月21日,360CERT监测业内安全公司发布了多个政府网站被上传了非正常 HTML 页面。攻击者通过这些网站的 KindEditor 编辑器组件的漏洞进行攻击利用,KindEditor 组件中的upload_json.php
上传功能文件允许被直接调用从而实现任意上传 htm,html,txt 等文件到服务器。
0x01 漏洞详情
该漏洞于 2017 年 7 月 14 日被提出,该漏洞可以利用 KindEditor 项目目录下 php/upload_json.php 直接进行(html, htm, txt)文件上传,而没有任何验证措施。
0x02 修复建议
及时删除 php/* 目录下的示例代码,框架作者也提及此处的代码只是用于测试,不要直接用于生产环境。
0x03 漏洞验证
关于KindEditor网站编辑器组件上传漏洞利用预警示例分析问题的解答就分享到这里了,希望以上内容可以对大家有一定的帮助,如果你还有很多疑惑没有解开,可以关注编程网行业资讯频道了解更多相关知识。
免责声明:
① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。
② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341