大家好，今天来为大家解答某教程学习笔记（一）：15.编辑器漏洞这个问题的一些问题点，包括也一样很多人还不知道，因此呢，今天就来为大家分析分析，现在让我们一起来看看吧！如果解决了您的问题，还望您关注下本站哦，谢谢~
1. 编辑器漏洞
动态网页通常在后台有一个编辑器。进入后台后可以通过编辑器上传文件并获取shell。
查找编辑器目录
编辑
编辑
fck编辑器
电子网络编辑器
管理员/编辑
上传.asp
上传文件
上.html
uping.html
2. 电子网页编辑器
1、存放路径一般为根目录或管理员目录。
2、UploadFilse目录可能是eweb的上传目录
3.进入后台查看源码并搜索编辑器关键词
4.上传图片时，通常会自动更改名称，uploadfiles/123465984513.jpg
5.直接下载数据库http://192.168.1.102/ewebeditor/db/ewebeditor.mdb
3.fck编辑器
1、上传图片的名称一般不会改变，userfile/images/x.jgp
2.查看FCKeditor编辑器页面
http://192.168.1.102/fck/_samples/default.html
3.查看编辑器版本信息
http://192.168.1.102/fck/_whatsnew.html
4.版本FCKeditor2.4.3
fckeditor v2.4.3 中的文件类别默认拒绝上传类型：
htm、htm、php、php2、php3、php4、php5、phtml、pwml、inc、asp、aspx、ascx、jsp、cfm、cfc
pl、bat、exe、com、dll、vbs、js/reg/cgi/htaccess/asis/sh/shtml/shtm/phtm
2.0=Fckeditor=2.2允许上传asa、cer、php2、php4、inc、pwml、pht后缀的文件
上传后，它保存的文件直接使用$sFilePath=$sServerDir.$sFileName，而不是使用$sExtension作为后缀。
这直接导致添加一个.在win下上传文件后可以突破，但在apache下也可以因为‘Apache文件名解析缺陷漏洞’而被利用。
5. 与解析漏洞一起使用
新建1.asp文件夹并上传1.jpg
直接上传1.asp;jpg
原创文章，作者：小su，如若转载，请注明出处：https://www.sudun.com/ask/167330.html
用户评论
心脏偷懒
终于找到一篇讲解编辑器漏洞的博文了！以前遇到这种问题总是摸不着头脑。这篇文章的讲解很详细，而且用图文并茂的方式解释了很多概念，对我很有帮助!
有15位网友表示赞同！
男神大妈
学习笔记的结构也蛮清晰的，很容易理解。作者真的太厉害了，把复杂的漏洞都解释得清清楚楚，我终于明白了怎么去防御这些漏洞！
有12位网友表示赞同！
一尾流莺
这篇文章的内容很实用的，尤其是对从事安全研究的朋友来说简直是福音呀！希望作者后面还有更多这样的笔记分享！
有18位网友表示赞同！
别伤我i
编辑器漏洞确实很多，不过这种东西往往被忽视了。希望更多的开发者能够重视这个问题，提高代码安全性和用户体验！
有13位网友表示赞同！
眼角有泪°
学习笔记不错，但我觉得应该多加一些实例分析和案例讲解，更容易让人理解和记忆。
有20位网友表示赞同！
ˉ夨落旳尐孩。
有些地方理论性太强，希望能结合更实际的操作教程，这样才能更好地指导我们进行漏洞修复!
有18位网友表示赞同！
留我一人
文章的内容确实很有价值，但是对于新手来说可能需要先做一些预习工作，才能更好地理解其中的专业术语！
有13位网友表示赞同！
歇火
这篇笔记写的不错，但我觉得"编辑器漏洞"这个涵盖面太广了，应该细化成具体的类别和种类。这样更加方便读者查找所需要的知识!
有5位网友表示赞同！
無極卍盜
有些理论我之前已经了解过，但是文章中提到的安全防护措施还是很有启发性的！
有19位网友表示赞同！
ゞ香草可樂ゞ草莓布丁
编辑器漏洞确实很常见，但我们应该注重它背后的原因，而不是仅仅将其作为一列bug来处理。作者的博客文章让我对这个问题有了更深入的思考!
有18位网友表示赞同！
Edinburgh°南空
我觉得文章缺少一些关于实际攻击方法和演练技巧的内容，这样才能更好地帮助大家防御各种编辑器漏洞！
有19位网友表示赞同！
几妆痕
对于新手来说，太过于注重代码细节了，我希望能看到一些更具针对性的实战案例讲解!
有18位网友表示赞同！
墨染天下
希望作者能持续更新更多笔记，涵盖不同类型的编辑器和安全缺陷！
有5位网友表示赞同！
神经兮兮°
很感谢博主分享这些知识，帮助我们更好地理解漏洞的原理和防御方法。期待后续更多的精彩内容!
有7位网友表示赞同！
隔壁阿不都
学习笔记很棒，尤其是在讲解了常见的攻击手段和对应的防范措施方面做得非常不错！希望作者能够继续分享更多实战经验！
有12位网友表示赞同！
烟雨离殇
我觉得标题有点过于笼统，编辑器漏洞种类繁多，应该更具体一点，比如 "JavaScript 编辑器 XSS 防御策略学习笔记" 这样
有11位网友表示赞同！
搞搞嗎妹妹
文章分析得很有深度，希望能加入更多安全工具和技术的介绍，帮助读者更好地应对实际问题!
有15位网友表示赞同！
坠入深海i
希望作者在后期能更新一些最新版编辑器的漏洞情况，以及最新的防护技术!
有5位网友表示赞同！