KyumLab

FCKeditor

FCKeditor는 게시판 에디터 입니다. 버전이 업그레이드 되면서 CKeditor(?)로 바뀐거 같은데 확실하진 않아요

게시판이라는게 xss공격에 취약한 부분이 있기마련! 조심스럽게 구글에 'FCKeditor 취약점'을 검색했습니다. [검색!]

그랬더니 제가 생각한 xss보다는 fileupload취약점이 더 많이 검색되었습니다...

가장 대표적인 취약점 페이지로는 test.html이 되겠다.

해당 파일의 경로에 test.html를 서버로 돌려보면 업로드를 할 수 있는 부분이 있다.

이 부분에 웹셸을 업로드할 수있는 취약점이 있다고 한다. (ver. 2.6.11)

웹셸은 알아서 다운로드 받아서 실습하고, config과정 들은 [여기]를 참고하면 될 것같다.

이러한 취약점이 있는 페이지들은 다음과 같다.

- /FCKeditor/editor/filemanager/browser/default/connectors/test.html

- /FCKeditor/editor/filemanager/browser/default/browser.html

- /FCKeditor/editor/filemanager/upload/test.html

이거말고도 더있다능...

대처방법

일단 snort룰셋을 적용 시키는 방법

1. drop tcp any any -> $내부_네트워크 any (content:"test"; sid=10000001;)

2. alert tcp $내부_네트워크 any -> any any (msg:"wp-login access"; content:"test"; sid=10000003;)

1. 외부에서 내부의 test페이지로의 접근을 차단하고,

2. 내부에서 test페이지로의 접근을 탐지한다.

그 다음으로는 아얘 test파일 자체를 삭제하는 방안이 있고, 서버단에서 해당 파일의 실행권한을 제한하는 방법이 있겠다.

ㅋ이번엔 joomla 취약점 조사이다

Joomla

편하게 줌라(?)로 말하겠다. 줌라역시 wordpress와 더불어 세계 3대 CMS로 꼽힌다. (비교는 되지 않지만...)

줌라 역시 wordpress와 마찬가지로 수많은 취약점들이 존재합니다.

줌라의 공식 홈페이지에서 현재 올라오는 취약점들과 해결된 취약점들의 목록을 확인할 수 있습니다. [바로가기]

Joomla역시 Wordpress와 마찬가지로 joomla 자체 이슈, 플러그인 이슈, 테마 이슈등 홈페이지를 제작하는 프로그램이 갖는 이슈들에 대해서 다양한 취약점이 발견되고 있고, 그중에서도 sql injection 취약점 및 다른 취약점들이 업로드 되고 있습니다. (exploit-db)

joomla도 wordpress의 wp-login.php와 마찬가지로 고유의 페이지('administration')(를 가지고 있습니다. (administrator 입니다. administration 아님 ㅎ)

비슷하게 공격자는 joomla로 작성된 페이지임을 확인해보기 위해서 다음과 같이 URL을 요청해볼 수 있습니다.

물론 페이지가 뜨면 joomla로 작성되었을 수도 있겠다. 라고 생각할 수도 있을것 같습니다. /administration을 워낙 많이 쓰는지라 자세하게 모르겠습니다...

snort도 wordpress랑 마찬가지로

1. drop tcp any any -> $내부_네트워크 any (content:"administartor"; sid=10000001;)

2. alert tcp $내부_네트워크 any -> any any (msg:"wp-login access"; content:"administartor"; sid=10000002;)

이렇게 외부에서 내부로의 액세스는 차단하고 내부에서 해당페이지에 접근하는 것만 열어두면 되지 않을까 싶다.

다른 joomla 취약점

joomla도 내가알지 못하는 resolved된 취약점들이 많이 있다.

joomla의 권한 상승 취약점과 계정 생성 취약점에 대해서 잘 정리해 놓은 블로그가 있어서 소개한다. [바로가기] [원격 코드 실행 취약점]

wordpress와 joomla 취약점을 보면서 php를 배워보고 싶다고 느껴졌다!