搜索

[8779] 2015-03-23_WordPress插件GoogleAnalyticsbyYoast存储型XSS漏洞（含POC）

文档创建者：s7ckTeam
浏览次数：83
最后更新：2025-01-17
2015-03-23_WordPress插件GoogleAnalyticsbyYoast存储型XSS漏洞（含POC） W o r d P r e s s 插 件 G o o g l e   A n a l y t i c s   b y   Y o a s t 存 储 型 X S S 漏 洞 （ 含 P O C ） F r e e B u f   2 0 1 5 - 0 3 - 2 3 微 信 号 ： 微 信 号 ： f r e e b u f W o r d P r e s s 著 名 插 件 著 名 插 件 G o o g l e   A n a l y t i c s   b y   Y o a s t 插 件 中 曝 出 存 储 型 插 件 中 曝 出 存 储 型 X S S 漏 洞 ， 该 漏 洞 能 够 让 未 被 授 权 的 攻 击 者 在 漏 洞 ， 该 漏 洞 能 够 让 未 被 授 权 的 攻 击 者 在 W o r d P r e s s 管 理 面 板 中 存 储 任 何 管 理 面 板 中 存 储 任 何 H T M L 代 码 ， 包 括 代 码 ， 包 括 J a v a S c r i p t 。 管 理 员 查 看 插 件 的 设 置 面 板 是 。 管 理 员 查 看 插 件 的 设 置 面 板 是 J a v a S c r i p t 就 会 被 触 发 ， 就 会 被 触 发 ， 不 需 要 别 的 交 互 行 为 。 不 需 要 别 的 交 互 行 为 。 漏 洞 描 述 漏 洞 描 述 G o o g l e   A n a l y t i c s   b y   Y o a s t 是 一 款 用 于 监 视 网 站 流 量 的 W o r d P r e s s 插 件 。 这 款 插 件 有 大 约 7 百 万 的 下 载 量 ， 是 最 受 欢 迎 最 受 欢 迎 的 W P 插 件 之 一 。 尽 管 插 件 代 码 从 2 0 1 4 年 开 始 被 例 行 安 全 审 计 例 行 安 全 审 计 ， 但 还 是 出 现 了 这 个 漏 洞 ， 这 次 的 这 个 漏 洞 非 常 危 险 ， 并 且 显 然 是 Y o a s t   W P 插 件 中 爆 出 爆 出 的 最 严 重 的 漏 洞 。 对 于 攻 击 者 来 说 ， 利 用 这 个 漏 洞 在 服 务 器 端 执 行 代 码 相 对 简 单 。 在 默 认 对 于 攻 击 者 来 说 ， 利 用 这 个 漏 洞 在 服 务 器 端 执 行 代 码 相 对 简 单 。 在 默 认 W P 配 置 下 ， 恶 意 的 用 户 可 以 利 用 这 个 漏 洞 配 置 下 ， 恶 意 的 用 户 可 以 利 用 这 个 漏 洞 通 过 插 件 通 过 插 件 / 主 题 编 辑 器 在 服 务 器 上 写 主 题 编 辑 器 在 服 务 器 上 写 P H P 文 件 文 件 ( 见 视 频 演 示 见 视 频 演 示 ) 。 或 者 攻 击 者 也 可 以 更 改 管 理 员 密 码 ， 创 建 管 理 员 帐 号 ， 。 或 者 攻 击 者 也 可 以 更 改 管 理 员 密 码 ， 创 建 管 理 员 帐 号 ， 或 者 做 其 他 任 何 服 务 器 网 站 上 已 登 录 用 户 所 能 做 的 事 情 。 或 者 做 其 他 任 何 服 务 器 网 站 上 已 登 录 用 户 所 能 做 的 事 情 。 这 个 漏 洞 今 年 1 月 下 旬 由 K l i k k i   O y 发 现 的 ， 但 是 当 时 还 不 知 道 具 体 的 影 响 ， 直 到 三 月 一 份 完 整 的 调 查 结 果 出 炉 。 现 在 插 件 已 有 更 新 修 复 这 一 问 题 。 漏 洞 细 节 漏 洞 细 节 漏 洞 的 影 响 是 两 个 问 题 的 结 合 。 漏 洞 的 影 响 是 两 个 问 题 的 结 合 。 首 先 ， 首 先 ， 缺 少 访 问 控 制 导 致 未 被 授 权 的 用 户 可 以 修 改 有 关 插 件 的 部 分 设 置 。 攻 击 者 可 以 覆 盖 已 有 的 O A u t h 2 验 证 信 息 ， 验 证 信 息 在 插 件 中 被 用 作 获 得 G o o g l e 分 析 的 数 据 ， 因 此 ， 攻 击 者 可 以 在 插 件 中 使 用 自 己 的 G o o g l e 分 析 账 号 。 其 次 ， 其 次 ， 插 件 中 有 一 个 H T M L 下 拉 菜 单 ， 菜 单 基 于 从 G o o g l e 分 析 下 载 的 数 据 。 数 据 没 有 进 行 处 理 或 者 H T M L 转 义 。 如 果 攻 击 者 在 G o o g l e 分 析 账 号 设 置 中 输 入 < s c r i p t > 标 签 之 类 的 H T M L 代 码 ， 这 些 代 码 就 会 出 现 在 W o r d P r e s s 管 理 面 板 中 ， 任 何 浏 览 这 些 设 置 时 就 会 触 发 。
P O C 以 下 这 段 H T M L 片 段 可 以 用 来 劫 持 使 用 了 漏 洞 插 件 的 网 站 中 G o o g l e 分 析 账 号 : < a   h r e f = " h t t p : / / Y O U R . B L O G / w p - a d m i n / a d m i n - p o s t . p h p ? r e a u t h = 1 " > r e a u t h < / a > < b r > < b r > < f o r m   m e t h o d = P O S T   a c t i o n = " h t t p : / / Y O U R . B L O G / w p - a d m i n / a d m i n - p o s t . p h p " > < i n p u t   t y p e = t e x t   s i z e = 1 0 0   n a m e = " g o o g l e _ a u t h _ c o d e " > < i n p u t   t y p e = s u b m i t > < / f o r m > 首 先 ， 攻 击 者 会 点 击 " 重 新 授 权 " 链 接 。 这 个 动 作 不 需 要 任 何 验 证 。 它 会 重 置 某 些 插 件 设 置 ， 并 将 攻 击 者 重 定 向 导 一 个 g o o g l e . c o m   O A u t h 验 证 对 话 框 ， 攻 击 者 可 以 在 这 里 获 得 一 个 验 证 代 码 。 接 着 攻 击 者 会 复 制 这 段 代 码 并 且 粘 帖 到 上 面 的 表 格 并 点 击 提 交 。 这 样 攻 击 者 就 更 新 了 插 件 设 置 中 的 代 码 — — 也 是 不 需 要 进 行 授 权 的 。 然 后 插 件 就 会 从 攻 击 者 的 G o o g l e 分 析 账 号 获 取 数 据 了 。 攻 击 者 会 在 攻 击 者 会 在 G o o g l e 分 析 账 号 设 置 分 析 账 号 设 置 ( h t t p s : / / w w w . g o o g l e . c o m / a n a l y t i c s / w e b / ? h l = e n # m a n a g e m e n t / S e t t i n g s / ) 中 填 入 真 正 的 中 填 入 真 正 的 p a y l o a d 脚 本 。 例 如 ： 脚 本 。 例 如 ： t e s t " > < s c r i p t > a l e r t ( ' s t o r e d   X S S ' ) < / s c r i p t > 这 样 的 脚 本 会 在 管 理 员 浏 览 面 板 中 的 设 置 页 面 时 弹 窗 。 真 实 的 攻 击 可 能 会 使 用 s r c 属 性 从 外 部 网 站 加 载 更 加 复 杂 的 脚 本 。 可 以 使 用 a j a x 调 用 加 载 提 交 管 理 表 单 ， 可 以 使 用 插 件 编 辑 器 写 入 服 务 器 端 P H P 代 码 ， 并 执 行 。 视 频 演 示 视 频 演 示 点 击 点 击 最 下 方 的 阅 读 原 文 观 看 最 下 方 的 阅 读 原 文 观 看 解 决 方 案 解 决 方 案 Y o a s t 于 2 0 1 5 年 3 月 1 8 日 收 到 提 醒 。 第 二 天 Y o a s t 发 布 了 更 新 ( 5 . 3 . 3 ) 。 参 考 来 源 K l i k k i   O y ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理