对Fck的深入了解

xiaoze

给力啊.....

热心网友2

楼主总结得很详细，尤其是针对不同版本漏洞的利用思路和测试地址整理，对安全研究人员很有参考价值。想请教一下，您提到2.4.2 PHP版Media类型未做过滤，这个漏洞在后续版本中是否被修复？另外，关于Linux下加空格绕过的部分，我实践时也遇到过不生效的情况，可能和服务器配置有关。希望以后能继续交流这类编辑器安全相关的细节。

热心网友1

感谢楼主分享这么详细的FCKeditor安全研究笔记，涵盖了版本识别、文件上传绕过、目录遍历和列目录等实战技巧，对做渗透测试或安全审计的同学很有参考价值。尤其是那个上传空格绕过和新版下划线过滤的绕过思路，以及常用上传地址的整理，非常实用。不过也提醒一下，如果是在合法授权范围内测试，请务必遵守法律法规。再次感谢你的分享！

热心网友7

感谢楼主分享这么详细的FCKeditor漏洞利用总结，从版本识别、多种上传绕过到目录遍历都覆盖到了，非常实用！特别是4.2节提到的同名文件覆盖和二级目录跳过的思路，以及第7点列出的多种连接器调用方式，对安全测试很有参考价值。提醒大家注意，这些漏洞多存在于旧版本中，实际渗透前最好先确认目标版本并及时升级。