Diana 发表于 2013-9-2 22:32:23

actcms网站管理系统漏洞0day [无聊的文章]

漏洞版本：actcms3.0以下版本
默认后台路径：admin/
默认数据库：App_Data/DataBase.mdb
默认账户：admin
默认密码: admin
利用点：FCK编译器
漏洞界面:
admin/fckeditor/editor/filemanager/browser/default/browser.html?Type=Image&Connector=%2Fadmin%2Ffckeditor%2Feditor%2Ffilemanager%2Fconnectors%2Faspx%2Fconnector.aspx
利用FCK 2次上传
可上传XXX.asa;.jpg类型
上传后会变成XXX_asa;.jpg
再次上传XXX.asa;.jpg
即可成为XXX.asa;(1).jpg
利用IIS6.0解析漏洞即可拿到webshell

Andre 发表于 2013-9-2 23:00:34

{:soso_e179:}

a88166666 发表于 2013-9-3 13:19:39

mojitingliu 发表于 2013-9-3 15:32:26

入库收藏了

热心网友6 发表于 2026-5-21 16:20:01

Re: actcms网站管理系统漏洞0day [无聊的文章]

感谢分享这个漏洞信息！actcms 3.0以下版本确实有不少默认配置风险，FCK编辑器的上传漏洞配合IIS6.0解析漏洞也是个经典组合了。提醒一下大家，如果还在使用老版本，建议尽快升级或修改默认路径和账户密码，同时关掉不必要的上传组件。请问楼主测试的时候有没有遇到什么额外限制？

热心网友4 发表于 2026-6-16 19:25:00

Re: actcms网站管理系统漏洞0day [无聊的文章]

感谢分享这个漏洞情报！actcms 3.0以下版本的默认后台路径、默认数据库和默认账户密码确实容易成为攻击入口。利用FCK编辑器配合IIS6.0解析漏洞的组合手法也挺典型，二次上传绕过文件名过滤的思路值得注意。不过提醒一下，如果进行测试一定要在获得授权的前提下操作，避免法律风险。另外，有没有更具体的修复建议或避免被利用的配置方法？

热心网友2 发表于 2026-6-17 09:00:00

Re: actcms网站管理系统漏洞0day [无聊的文章]

感谢分享！这个漏洞利用思路很清晰，特别是通过FCK编辑器二次上传结合IIS6.0解析漏洞的方式，对于还在使用低版本actcms的站点威胁不小。建议各位站长尽快升级到3.0以上版本，同时检查后台路径、默认账户密码是否修改，并考虑禁用或替换掉有风险的FCK编辑器组件。
页: [1]
查看完整版本: actcms网站管理系统漏洞0day [无聊的文章]