搜索

[13906] 2019-03-24_WordPress-5.1.1-CSRF-To-RCE安全事件详析

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2019-03-24_WordPress-5.1.1-CSRF-To-RCE安全事件详析 W o r d P r e s s - 5 . 1 . 1 - C S R F - T o - R C E 安 全 事 件 详 析 a l p h a l a b   F r e e B u f   2 0 1 9 - 0 3 - 2 4 0 x 0 1   概 述 概 述 1 . 1   前 言 前 言 2 0 1 9   年 年   3   月 月   1 3   号 ， 号 ， R I P S   又 放 了 一 个 又 放 了 一 个   W o r d P r e s s   的 的   C S R F ， 与 此 同 时 ， 与 此 同 时   W o r d P r e s s   官 方 也 提 交 相 应 的 官 方 也 提 交 相 应 的 C o m m i t ， 算 是 一 个 比 较 新 的 洞 。 问 题 出 在 文 章 的 评 论 上 ， 其 实 是 有 防 ， 算 是 一 个 比 较 新 的 洞 。 问 题 出 在 文 章 的 评 论 上 ， 其 实 是 有 防   C S R F   相 应 的 相 应 的   w p n o n c e ， 熟 悉 ， 熟 悉   w p   的 人 的 人 肯 定 不 会 陌 生 肯 定 不 会 陌 生   w p n o n c e ， 这 是 ， 这 是   w p   的 防 御 机 制 ， 动 作 和 的 防 御 机 制 ， 动 作 和 p o s t i d 构 成 的 构 成 的 t o k e n ， 用 来 验 证 ， 用 来 验 证 r e f e r e n c e ， 而 且 ， 而 且 w o r d p r e s s   对 标 签 的 过 滤 机 制 比 较 严 格 的 。 白 名 单 机 制 ， 列 如 对 标 签 的 过 滤 机 制 比 较 严 格 的 。 白 名 单 机 制 ， 列 如   a   标 签 的 名 单 为 ： 标 签 的 名 单 为 ： 看 起 来 是 比 较 严 格 的 ， 基 本 带 动 作 的 标 签 不 可 能 出 现 ， 插 不 进   j s 。 比 较 有 趣 是 两 个 对 评 论 的   f i l t e r   组 合 起 来 造 成 了 ， a 标 签 中 的 属 性 逃 逸 。 R I P S   文 章 也 说 的 比 较 简 单 ， 接 下 来 看 看 具 体 的 实 现 过 程 ， 其 实 存 在 利 用 条 件 的 ， R I P S   也 没 有 指 出 来 ， 总 结 时 详 细 说 明 。 1 . 2   背 景 介 绍 背 景 介 绍 1 . 2 . 1   漏 洞 描 述 漏 洞 存 在 于   5 . 1 . 1   之 前 的   W o r d P r e s s   版 本 中 ， 可 以 使 用 默 认 设 置 进 行 利 用 。 根 据 其   W o r d P r e s s   官 方 下 载 页 面 ， 超 过   3 3 ％ 的 互 联 网 网 站 正 在 使 用   W o r d P r e s s 。 文 章 评 论 是 博 客 的 核 心 功 能 并 且 默 认 情 况 下 已 启 用 ， 该 漏 洞 会 影 响 数 百 万 个 网 站 。 1 . 2 . 2   受 影 响 版 本 W o r d P r e s s   < =   5 . 1 . 1 1 . 3   测 试 环 境 测 试 环 境 K a l i   4 . 1 9 . 0   W o r d P r e s s   5 . 1 . 1 0 x 0 2   漏 洞 实 现 过 程 漏 洞 实 现 过 程 环 境 最 新 是   5 . 1 . 1   昨 天 才 官 方 刚   c o m m i t   的 修 复 过 程 ， 算 是 比 较 新 。 既 然 是 是   C S R F ， 表 单 提 交 点 在 于 每 篇 文 章 的 评 论 处 。 w p - c o m m e n t s - p o s t . p h p : 2 5 ,   w p _ h a n d l e _ c o m m e n t _ s u b m i s s i o n ( w p _ u n s l a s h (   $ _ P O S T   ) ) ， 进 入   c o m m e n t _ h a n d l e r   函 数   做 了 一 些 简 单 的 赋 值 过 程 ：
来 看 看 上 面 对 于 用 户 身 份 判 断 的 过 程 。 评 论 需 要 用 户 为 登 录 态 。 关 键 处 ： 其 中 判 断 用 户 能 否 不 需 要 过 滤   h t m l ， 到 下 面 的 判 断 提 交   c o m m e n t   过 程 中 的   w p n o n c e   验 证 ， 若 是 没 有 通 过 身 份 验 证 会 重 新 定 义 k s e s   处 理 过 程 的 中 的   f i l t e r ， 具 体 看 一 下   k s e s _ i n i t _ f i l t e r s 这 里 为 什 么 会 重 新 删 减   f i l t e r ， 在 前 面 初 始 化 的 过 程 中 在 i n i t 标 签 的 注 册 了 一 个   k s e s _ i n i t ( ) 仅 仅 判 断 通 过 用 户 身 份   S e s s i o n   身 份 判 断 了 ， 需 不 要 添 加 过 滤   h t m l   的   f i l t e r 。 管 理 员 用 户 在 操 作 的 时 候 ， 即 默 认 是 没 有 插 入 对   p r e _ c o m m e n t _ c o n t e n t   的 过 滤   h t m l   的 钩 子 ， 但 是 在 判 断 添 加 评 论 的 时 候 又 因 为 在 想 要 的   w p n o n c e   验 证 不 通 过 的 时 候 ， 又 添 加 上 了 相 应 的   f i l t e r ， 官 方 还 是 考 虑 到 了 相 应 的 安 全 问 题 ， 但 是 为 什 么 又 要 加 一 层 身 份 判 断 ， 添 加 不 同 的 处 理 函 数 呢 ， 直 接 插 入   w p _ f i l t e r _ k s e s   不 好 吗 ？
正 是 因 为   w p _ f i l t e r _ k s e s   和   w p _ f i l t e r _ p o s t _ k s e s   不 同 上 造 成 了 后 面 的   j s   执 行   他 们 的 不 同 在 于 过 滤 的 严 格 度 上 ， 其 实 都 一 样 是 白 名 单 过 滤 。 但 是 跟   p r e _ c o m m e n t _ c o n t e n t   的 钩 子 函 数 组 合 起 来 ， 就 发 送 了 属 性 逃 逸 。 看 一 下 这 个 两 个 函 数 的 定 义 。 传 入 的 第 二 参 数 不 同 ， 决 定 了 后 面 允 许 使 用 的 标 签 和 属 性 的 白 名 单 不 同 。 影 响 第 二 个 钩 子 函 数 。 即 使 这 里   a d d s l a s h e s 转 义 了 字 符 内 容 ， 紧 接 着 下 一 个 钩 子 涉 及 到 对 属 性 的 处 理 ， 会 恢 复 被 转 义 字 符 内 容 。 p r e _ c o m m e n t _ c o n t e n t   标 签 的 钩 子 有 默 认 的   4   个 钩 子   ( 我 习 惯 叫 钩 子 函 数 ) ， 分 别 是 c o n v e r t _ i n v a l i d _ e n t i t i e s ， w p _ t a r g e t e d _ l i n k _ r e l ， w p _ r e l _ n o f o l l o w ， b a l a n c e   根 据 优 先 级 排 序 。 第 一 个 把 & # 1 2 8   及 以 后 的 实 体 转 成 相 应 的 合 法 的   u n i c o d e   实 体 ， 第 二 个 处 理   a   标 签   中 t a r g e t 属 性 的 ， 第 三 个 是 重 点 了 两 个 重 要 钩 子 中 的 第 二 个 ， 给   a   标 签 添 加   r e l   属 性 为   n o f o l l o w ， 如 果 存 在   r e l   属 性 则 在 其 属 性 值 中 添 加   n o f o l l o w ， 并 去 掉 原 来 的   r e l   属 性 值 ， 其 过 程 会 重 新 拼 接   a   标 签 。 w p _ r e l _ n o f o l l o w   钩 子 在   p r e _ c o m m e n t _ c o n t e n t   中 优 先 级 为   1 5 ， 当 插 入   w p _ f i l t e r _ p o s t _ k s e s   钩 子 时 使 用 的 默 认 值 是 1 0 ， 在   w p   中 执 行 钩 子 时 会 有 优 先 级 判 断 ， 刚 好   w p _ f i l t e r _ p o s t _ k s e s   也 在 前 ， 所 以 也 不 涉 及 到 对 后 面 溢 出 的 属 性 重 新 处 理 。 前 面 说 了   w p _ f i l t e r _ p o s t _ k s e s   和   w p _ f i l t e r _ k s e s   的 不 同 在 于 使 用 的 白 名 单 不 同 。 前 者 传 入 的 是   p o s t ， 后 者 传 入 是 c u r r e n t _ f i l t e r ( ) ,   这 个 值 很 好 理 解 ， 这 一 系 列 钩 子 都 在   p r e _ c o m m e n t _ c o n t e n t   标 签 下 。 所 以 理 所 当 然 是 p r e _ c o m m e n t _ c o n t e n t ,   选 择 过 程 如 下 ：
看 到   p o s t   的 情 况 下 ， 默 认 是 没 有 注 册   w p _ k s e s _ a l l o w e d _ h t m l   标 签 的 ， 即 每 一 步 的   a p p l y _ f i l t e r s ( )   返 回 输 入 的 第 一 个 值 ， p o s t   的 $ a l l o w e d p o s t a g s   包 含 的 标 签 及 其 属 性 是 比 较 多 的 ， p r e _ c o m m e n t _ c o n t e n t   只 能 走 到 默 认 $ a l l o w e d t a g s .   其 中 $ a l l o w e d t a g s   包 含 情 况 如 下 ：
可 以 看 到   a   标 签 中 的 只 允 许   h r e f   和   t i t l e ， 而   p o s t   的 $ a l l o w e d p o s t a g s   是 允 许 包 含   r e l   属 性 的 在 第 二 部 重 要 的 钩 子   w p _ r e l _ n o f o l l o w   中 ， 其 中 存 在   r e l   属 性 时 才 会 去 重 新 拼 接 ， 造 成 额 外 的 属 性 溢 出 。 所 以 这 就 是 差 异 之 处 ， 确 实 考 虑 到 了 X S S 的 执 行 ， 都 是 用 的 白 名 单 ， 但 经 过 重 新 拼 接 会 出 现 额 外 的 属 性 。 列 如 ， 通 过 拼 接 变 成 。 在 后 面 的 过 程 中 属 性 里 面 的 特 殊 字 符 会 被 转 义 成 实 体 。 涉 及 到 写   j s   的 可 能 需 要 绕 一 下 不 能 用 引 号 和 双 引 号 ， 可 以 这 样 绕 一 下 ： p l a y l o a d   如 下 ：
0 x 0 3   总 结 总 结 3 . 1   利 用 条 件 利 用 条 件 其 实 这 个 洞 再 利 用 条 件 的 有 一 定 限 定   R I P S   也 没 有 指 出 来 ， 我 在 刚 做 时 候 ， 我 添 加 了 一 个 评 论 ， 我 没 有 去 文 章 页 面 看 ， 我 去 的 后 台 管 理 界 面 评 论 管 理 处 看 ， 发 现 并 没 有 出 现 x s s 的 情 况 ， 我 很 诧 异 不 应 该 是 一 样 吗 ？ 而 后 发 现 在 输 出 评 论 前 进 行 了 标 签 为 c o m m e n t _ t e x t 的 过 滤 器 ， 其 中 包 含 了 w p _ k s e s _ p o s t   钩 子   这 也 是 为 什 么 后 台 不 行 。 但 是 应 该 这 个 思 路 ， 文 章 显 示 处 也 肯 定 用 了 这 个 标 签 的 过 滤 器 ， 但 是 理 论 上 是 没 有 使 用 的 ， 因 为 使 用 以 后 溢 出 的 属 性 会 被 过 滤 掉 。 在 仔 细 跟 一 下 ， 发 现 确 实 有 存 在 使 用 这 个 标 签 的 情 况 ， 对   c o m m e n t _ t e x t   过 滤 器 的 使 用 在   c h e c k _ c o m m e n t ( )   中 是 个 判 断 ， 看 到 这 里 你 是 否 明 白 了 这 个 使 用 的 限 定 的 条 件 ？ 也 就 是 说 用 户 评 论 自 己 的 文 章 时 是 不 需 要   c h e c k   的 ， 所 以 这 里 存 在 一 定 使 用 条 件 ， 在 进 行 添 加 评 论 的 时 候 必 须 是 管 理 员 发 布 的 文 章 才 行 。
这 个 洞 其 实 一 眼 真 的 很 难 看 出 来 。 白 名 单 验 证 ， 直 接 就 放 弃 了 。 可 不 曾 想 存 在 一 个 弄 巧 的 钩 子 。 官 方 修 复 在 验 证 w p n o n c e   不 成 立 时 给 强 制 加 了   w p _ f i l t e r _ k s e s   完 全 限 定 死 了 。 当 然 了 这 个   c s r f   依 然 存 在 。 因 为 涉 及 到 w p   的 特 性 p i n g b a c k / t r a c k b a c k 。 总 的 来 说 还 是 非 常 细 节 的 ， 在 挖 洞 只 能 拼 细 节 在 这 种 流 行 的 框 架 下 。 0 X 0 4   修 复 建 议 修 复 建 议 w p   默 认 是 开 启 自 动 更 新 的 ， 最 新 版 本 中 已 经 得 到 修 复 ， 若 关 闭 自 动 更 新 的 环 境 ， 请 及 时 检 查 更 新 。   h t t p s : / / w o r d p r e s s . o r g / n e w s / 2 0 1 9 / 0 3 / w o r d p r e s s - 5 - 1 - 1 - s e c u r i t y - a n d - m a i n t e n a n c e - r e l e a s e / 可 手 动 修 复 ： 0 x 0 5   参 考 连 接 参 考 连 接 h t t p s : / / b l o g . r i p s t e c h . c o m / 2 0 1 9 / w o r d p r e s s - c s r f - t o - r c e / * 本 文 作 者 ： 本 文 作 者 ： a l p h a l a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理