搜索

[13491] 2018-12-03_从插件入手：挖掘WordPress站点的“后入式BUG”

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2018-12-03_从插件入手：挖掘WordPress站点的“后入式BUG” 从 插 件 入 手 ： 挖 掘 W o r d P r e s s 站 点 的 “ 后 入 式 B U G ” e v i l 7   F r e e B u f   2 0 1 8 - 1 2 - 0 3 前 言 前 言 当 任 务 目 标 是 一 个 当 任 务 目 标 是 一 个 w o r d p r e s s 站 点 的 时 候 ， 是 否 让 你 感 到 过 头 大 ？ 站 点 的 时 候 ， 是 否 让 你 感 到 过 头 大 ？ w p s c a n 扫 了 半 天 ， 却 没 有 任 何 有 利 用 价 值 的 扫 了 半 天 ， 却 没 有 任 何 有 利 用 价 值 的 b u g ， 这 时 候 就 拍 拍 屁 股 走 人 了 ？ ， 这 时 候 就 拍 拍 屁 股 走 人 了 ？ 遇 遇 W o r d P r e s s 头 大 ？ 让 我 们 从 插 件 入 手 ！ 头 大 ？ 让 我 们 从 插 件 入 手 ！ 流 行 框 架 一 般 不 会 有 什 么 太 大 的 漏 洞 ， 顶 多 根 据 少 有 的 特 性 接 口 找 到 一 些 可 以 利 用 的 数 据 ， 比 如 用 户 的 基 础 信 息 ： I D 、 名 称 、 邮 箱 等 ， 为 潜 在 的 爆 破 登 陆 做 轻 微 的 贡 献 。 N O ， 这 时 候 更 应 该 深 入 ， 越 是 扫 不 出 的 地 方 ， 越 有 可 能 发 现 有 趣 的 点 。 而 最 容 易 出 现 非 官 方 ， 有 b u g 的 地 方 就 是 插 件 、 自 定 义 插 件 、 第 三 方 功 能 了 。 因 此 ， 在 面 对 大 型 框 架 时 ， 我 们 的 入 手 目 标 就 是 “ 一 般 工 具 扫 不 出 、 普 遍 站 点 不 一 定 有 ， 根 据 管 理 员 目 的 后 来 添 加 的 ， 但 混 入 站 点 拥 有 一 定 权 限 和 功 能 的 ” 漏 洞 点 。 也 就 是 去 寻 找 笔 者 所 戏 称 的 “ 后 入 式 B U G ” 。 寻 找 寻 找 p l u g i n s 的 蛛 丝 马 迹 的 蛛 丝 马 迹 总 有 人 说 ， 拿 到 一 个 目 标 是 标 准 化 框 架 ， 让 人 看 着 就 觉 得 没 什 么 容 易 下 手 测 试 的 地 方 。 其 实 测 试 的 地 方 是 有 的 ， 大 佬 和 小 白 们 的 方 式 却 略 有 不 同 。 1 .   工 具 扫 描 工 具 扫 描 使 用 工 具 扫 描 总 是 最 轻 松 的 ， 基 础 信 息 刺 探 、 简 单 的 资 产 挖 掘 ， 甚 至 某 些 心 大 未 修 复 的 捡 漏 、 备 份 文 件 暴 露 ， 特 殊 路 径 挖 掘 等 ， 都 能 靠 扫 描 器 就 直 接 扫 出 来 。 但 轻 松 是 一 方 面 ， 另 一 方 面 你 应 该 也 意 识 到 了 ， 使 用 工 具 拼 的 只 是 带 宽 和 时 间 ， 你 的 任 务 入 手 时 间 ， 扫 描 持 续 时 间 ， 扫 描 完 成 程 度 ， 规 则 广 泛 程 度 ， 报 告 书 写 速 度 ， 都 会 影 响 “ 你 与 别 人 谁 能 拿 到
奖 金 ” 的 结 果 。 而 初 入 安 全 行 业 ， 偷 懒 不 进 去 不 学 习 的 人 ， 都 停 步 在 了 这 里 。 2 .   手 工 审 计 手 工 审 计 扫 描 捡 漏 之 余 ， 一 般 才 是 大 牛 们 开 始 发 力 的 真 正 比 武 场 。 S R C 排 名 靠 前 的 师 傅 ， 据 我 认 识 的 就 有 几 个 已 经 自 己 写 出 自 动 化 开 始 做 项 目 了 。 你 用 “ 开 源 扫 描 器 + 手 工 复 测 + 疯 狂 写 报 告 ” 跟 他 们 拼 ？ 还 是 歇 歇 吧 哈 哈 ， 他 们 早 直 接 用 S R C 的 A P I 提 交 了 ， 从 S C A N - > T E S T - > P O C - > G E T S H E L L - > R E P O R T 一 条 龙 服 务 。 从 前 我 不 相 信 这 个 世 界 有 龙 ， 直 到 我 看 到 了 大 佬 们 自 己 写 的 “ 日 站 一 条 龙 ” 框 架 … … 而 大 佬 们 在 抢 走 了 第 一 波 饭 菜 的 时 候 ， 顺 手 也 拿 起 勺 子 开 始 喝 汤 了 。 事 实 说 话 ， 举 例 说 明 事 实 说 话 ， 举 例 说 明 大 型 开 源 框 架 很 多 ， 能 使 用 插 件 的 也 挺 多 的 。 比 如 W o r d P r e s s 的 站 点 这 网 上 一 搜 一 大 把 ， 那 我 们 就 拿 W o r d P r e s s 举 例 说 明 吧 。 首 先 随 便 找 个 W o r d P r e s s 的 网 站 ， 我 们 就 到 网 上 搜 一 个 随 便 看 看 吧 。 按 f 1 2 挂 个 黑 页 ， 哦 不 ， 按 f 1 2 看 看 站 点 目 前 引 入 的 文 件 ， 和 现 在 的 流 量 情 况 ， 找 找 A P I 交 互 的 e n d p o i n t 以 及 现 在 直 接 能 体 现 出 来 的 e r r o r 有 没 有 可 以 利 用 的 地 方 。 可 以 看 见 ， 这 个 站 点 使 用 了 诸 多 的 插 件 ， 某 些 插 接 因 为 太 小 众 ， 并 没 被 W P S c a n 扫 出 来 ， 即 便 扫 出 来 了 ， 或 许 规 则 库 里 也 没 有 统 计 到 有 可 利 用 的 漏 洞 ， 这 时 候 我 们 就 可 以 找 找 这 几 个 插 件 的 源 码 着 手 审 计 。 而 审 计 之 前 ， 我 们 也 可 以 在 权 限 允 许 的 页 面 ， 顺 手 测 试 一 下 这 些 插 件 的 功 能 ， 说 不 定 就 有 直 观 的 能 黑 盒 测 试 出 来 的 b u g 呢 ？
可 以 看 到 ， 这 个 站 点 的 P M 功 能 （ 私 信 功 能 ） 出 现 了 许 多 奇 怪 的 e r r o r ， 看 类 型 是 x h r ， 流 量 中 跟 随 输 入 拼 写 一 直 在 递 增 。 貌 似 是 查 询 用 户 的 ？ 不 如 直 接 找 到 这 个 A P I ， 尝 试 手 工 测 试 。 可 以 看 到 ， 单 单 是 黑 盒 测 试 ， 就 发 现 此 处 A P I 存 在 一 个 S Q L 注 入 点 。 手 工 复 测 找 到 完 美 闭 合 方 式 后 ， 调 整 速 率 再 使 用 s q l m a p 确 定 一 下 ， 可 喜 可 贺 ， 确 实 找 到 一 个 注 入 点 ， 类 型 B o o l e a n   & T i m e   b a s e d 。 留 好 截 图 ， 组 织 一 下 语 言 ， 把 前 后 发 现 、 复 测 条 件 、 p a y l o a d 全 附 上 ， 一 篇 价 值 2 k 的 高 危 漏 洞 报 告 就 出 炉
啦 ！ 这 里 在 f o r m 里 调 用 了 j a v a s c r i p t : a u t o s u g g e s t ( ) 来 自 动 补 全 用 户 信 息 。 再 看 看 补 全 用 户 信 息 怎 么 实 现 的 ， 我 们 看 看 源 码 ， 果 不 其 然 ， 在 这 段 代 码 中 就 存 在 一 个 教 科 书 般 的 S Q L i n j e c t i o n 漏 洞 。 站 点 的 开 发 在 上 线 时 使 用 了 插 件 ， 却 没 经 过 严 格 审 计 ， 而 选 择 了 信 任 插 件 ， 实 属 失 误 。 。 在 刚 刚 的 e r r o r 信 息 中 ， 隐 约 记 得 还 看 到 了 i n n e r H t m l ( ) 的 调 用 ， 这 可 是 容 易 出 现 x s s 的 地 方 啊 ！ 当 然 ， 修 复 方 式 建 议 直 接 < ? p h p   d i e ( ) ; ? > 了 ， 也 就 不 用 考 虑 这 个 X S S 了 。 。 年 久 失 修 遇 见 双 管 齐 下 年 久 失 修 遇 见 双 管 齐 下 就 在 写 文 章 的 时 候 ， 看 到 上 传 图 片 都 是 直 接 传 到 C D N 的 图 床 了 ， 直 觉 告 诉 我 这 里 可 能 出 现 问 题 ， 那 是 不 是 图 床 的 第 三 方 S D K 也 会 有 洞 呢 ？ 我 们 来 找 找 看 。 站 点 使 用 的 是 u p y u n - e d i t o r 的 上 传 代 码 ， 其 中 有 个 类 似 于 d e m o 的 文 件 引 起 了 我 的 注 意 。
这 里 看 到 代 码 ， 说 不 定 可 以 造 成 反 射 X S S ， 那 么 我 们 直 接 P O S T 到 站 点 看 看 。 恩 。 。 看 来 是 正 常 解 析 了 。 但 是 C h r o m e 下 测 试 ， 会 被 x s s   d e f e n s e 的 内 部 检 查 器 拦 截 下 来 。 。 这 可 咋 整 。 。 检 查 发 现 站 点 的 返 回 还 与 源 码 本 地 测 试 的 略 有 不 同 ， 并 且 既 然 有 两 个 输 入 框 ， 可 不 可 以 用 组 合 方 式 绕 过 C h r o m e 自 带 的 X S S 防 护 呢 ？ 我 们 在 第 一 个 输 入 框 填 < s c r i p t > 第 2 个 编 辑 器 的 值 = 0 ; 第 二 个 填 ; a l e r t ( 1 ) ; / / 测 试 一 下 ？
打 完 收 官 ~   虽 低 危 1 0 0 元 ， 挖 到 新 姿 势 还 有 奖 金 ， 想 想 也 足 以 。 总 结 总 结 不 管 是 做 项 目 ， 还 是 企 业 内 部 测 试 ， 使 用 扫 描 器 进 行 信 息 收 集 永 远 只 是 个 开 始 ， 而 主 要 精 力 应 该 放 在 加 深 对 框 架 理 解 与 功 能 测 试 跟 进 上 。 框 架 是 否 有 外 来 代 码 ？ 是 否 使 用 三 方 插 件 ？ 有 没 有 其 他 子 域 ？ 没 有 挖 不 到 的 洞 ， 只 有 不 努 力 的 黑 客 。 加 油 吧 ， 各 位 少 年 ~ * 本 文 作 者 ： 本 文 作 者 ： e v i l 7 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理