搜索

[11030] 2017-02-15_新曝WordPressRESTAPI内容注入漏洞详解

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-18
2017-02-15_新曝WordPressRESTAPI内容注入漏洞详解 新 曝 W o r d P r e s s   R E S T   A P I 内 容 注 入 漏 洞 详 解 华 为 未 然 实 验 室   F r e e B u f   2 0 1 7 - 0 2 - 1 5 近 日 ， 来 自 近 日 ， 来 自 S u c u r i 的 研 究 人 员 发 现 的 研 究 人 员 发 现 W o r d P r e s s 存 在 重 大 漏 洞 ， 漏 洞 在 于 存 在 重 大 漏 洞 ， 漏 洞 在 于 W o r d p r e s s R E S T   A P I ， 成 功 利 用 该 漏 洞 可 删 除 页 面 或 ， 成 功 利 用 该 漏 洞 可 删 除 页 面 或 修 改 页 面 内 容 。 修 改 页 面 内 容 。 官 方 很 快 发 布 了 升 级 版 官 方 很 快 发 布 了 升 级 版 W o r d p r e s s ， 但 很 多 管 理 员 没 有 及 时 升 级 ， 以 至 于 被 篡 改 的 网 页 从 最 初 的 几 千 一 路 飙 升 到 了 ， 但 很 多 管 理 员 没 有 及 时 升 级 ， 以 至 于 被 篡 改 的 网 页 从 最 初 的 几 千 一 路 飙 升 到 了 1 5 0 万 ， 万 ， 在 此 也 提 醒 各 位 管 理 员 尽 快 升 级 。 在 此 也 提 醒 各 位 管 理 员 尽 快 升 级 。 漏 洞 详 情 漏 洞 详 情 1 .   漏 洞 信 息 ： 漏 洞 信 息 ： W o r d P r e s s 是 一 个 以 P H P 和 M y S Q L 为 平 台 的 自 由 开 源 的 博 客 软 件 和 内 容 管 理 系 统 。 在 4 . 7 . 0 版 本 后 ， R E S T   A P I 插 件 的 功 能 被 集 成 到 W o r d P r e s s 中 ， 由 此 也 引 发 了 一 些 安 全 性 问 题 。 近 日 ， 一 个 由 R E S T   A P I 引 起 的 影 响 W o r e P r e s s 4 . 7 . 0 和 4 . 7 . 1 版 本 的 漏 洞 被 披 露 ， 该 漏 洞 可 以 导 致 W o r d P r e s s 所 有 文 章 内 容 可 以 未 经 验 证 被 查 看 ， 修 改 ， 删 除 ， 甚 至 创 建 新 的 文 章 ， 危 害 巨 大 。 2 .   漏 洞 影 响 版 本 ： 漏 洞 影 响 版 本 ： W o r d P r e s s 4 . 7 . 0 、 W o r d P r e s s   4 . 7 . 1 3 .   复 现 环 境 ： 复 现 环 境 ： A p a c h e   2 . 4 P H P   7 . 0 W o r d P r e s s 4 . 7 . 1 4 . 复 现 过 程 ： 复 现 过 程 ： ( 1 )   安 装 安 装 W o r d P r e s s 并 配 置 并 配 置 R E S T   A P I ①   配 置 A p a c h e + P H P + M y s q l 的 运 行 环 境 ， 下 载 含 有 漏 洞 版 本 的 W o r d P r e s s   ( h t t p s : / / w o r d p r e s s . o r g / w o r d p r e s s - 4 . 7 . 1 . t a r . g z ) 并 安 装 。 ②   加 载 A p a c h e 的 r e w r i t e 模 块 。 在 A p a c h e 的 配 置 文 件 中 添 加 L o a d M o d u l e   r e w r i t e _ m o d u l e / u s r / l i b / a p a c h e 2 / m o d u l e s / m o d _ r e w r i t e . s o 并 在 主 配 置 文 件 中 设 置 对 应 的 W E B 目 录 的 A l l o w O v e r r i d e 为 A l l ③ 设 置 W o r d P r e s s 站 点 为 固 定 链 接 在 S e t t i n g s - > P e r m a l i n k s 中 的 C o m m o n   S e t t i n g s 设 置 为 非 P l a i n 模 式 。 例 如 下 图 ， 我 们 设 置 为 D a y   a n d   n a m e 。
( 2 )   漏 洞 复 现 漏 洞 复 现 ① 根 据 R E S T   A P I 文 档 ， 修 改 文 章 内 容 的 数 据 包 构 造 如 下 ： 可 以 看 到 ， 不 带 任 何 验 证 信 息 会 提 示 不 允 许 编 辑 文 章 ② 构 造 可 利 用 的 数 据 包 ： 当 u r l 为 / w p - j s o n / w p / v 2 / p o s t s / 1 ? i d = 1 a 时 ， 可 以 看 到 ， 已 经 成 功 跳 过 验 证 看 到 文 章 内 容 了 。 漏 洞 发 现 之 技 术 细 节 漏 洞 发 现 之 技 术 细 节 S u c u r i 研 究 人 员 的 漏 洞 发 现 过 程 始 于 . / w p - i n c l u d e s / r e s t - a p i / e n d p o i n t s / c l a s s - w p - r e s t - p o s t s - c o n t r o l l e r . p h p
这 里 有 几 件 事 值 得 注 意 。 注 册 的 路 由 用 于 用 数 字 填 充 I D 请 求 参 数 。 比 如 ， 如 果 向 / w p - j s o n / w p / v 2 / p o s t s / 1 2 3 4   – 发 送 请 求 ， 则 I D 参 数 被 设 置 为 1 2 3 4 。 这 种 行 为 本 身 不 失 为 一 种 防 止 攻 击 者 编 制 恶 意 I D 值 的 好 方 法 ， 但 是 当 查 看 R E S T   A P I 如 何 管 理 访 问 时 ， 研 究 人 员 很 快 发 现 其 给 予 $ _ G E T   和 $ _ P O S T 值 的 优 先 级 高 于 路 由 的 正 则 表 达 式 生 成 的 值 。 这 使 攻 击 者 可 以 发 送 / w p - j s o n / w p / v 2 / p o s t s / 1 2 3 4 ? i d = 1 2 3 4 5 h e l l o w o r l d 这 样 的 请 求 ， 这 样 会 将 1 2 3 4 5 h e l l o w o r l d 分 配 到 I D 参 数 ， 这 样 包 含 的 不 仅 仅 是 数 字 。 研 究 人 员 进 一 步 查 看 了 各 种 回 调 （ 上 面 截 图 中 ） ， 其 中 一 个 引 起 了 研 究 人 员 的 注 意 ： u p d a t e _ i t e m 及 其 权 限 检 查 方 法 ： u p d a t e _ i t e m _ p e r m i s s i o n s _ c h e c k 。 。 简 言 之 ， 它 将 字 母 数 字 I D 值 直 接 传 递 给 了 g e t _ p o s t ( ) 函 数 。 该 函 数 通 过 检 查 帖 子 是 否 实 际 存 在 是 否 实 际 存 在 以 及 用 户 是 否 有 权 编 辑 是 否 有 权 编 辑 此 帖 来 验 证 请 求 。 研 究 人 员 认 为 这 种 审 验 请 求 的 方 式 较 为 奇 特 。 如 果 我 们 发 送 一 个 没 有 相 应 帖 子 的 I D ， 我 们 可 以 通 过 权 限 检 查 ， 并 被 允 许 继 续 执 行 对 u p d a t e _ i t e m 方 法 的 请 求 。 出 于 对 是 什 么 导 致 g e t _ p o s t ( ) 无 法 找 到 帖 子 （ 除 I D 不 存 在 外 ） 的 好 奇 ， 研 究 人 员 意 识 到 其 使 用 w p _ p o s t s 中 的 g e t _ i n s t a n c e （ ） （ ） 静 态 方 法 来 抓 取 帖 子 。 从 代 码 中 可 以 看 出 ， 对 于 不 是 由 纯 数 字 字 符 组 成 的 任 何 输 入 ， 其 基 本 上 会 失 败   –   因 此 1 2 3 A B C 会 失 败 。
对 于 攻 击 者 ， 这 意 味 着 W o r d P r e s s （ 将 其 视 作 具 有 足 够 权 限 编 辑 此 帖 的 用 户 ） 会 运 行 u p d a t e _ i t e m 方 法 。 我 们 认 为 有 必 要 查 看 该 方 法 的 作 用 。 截 图 中 有 一 个 微 妙 但 非 常 重 要 的 细 节 — — W o r d P r e s s 在 将 I D 参 数 传 递 给 g e t _ p o s t 前 先 将 其 转 换 为 一 个 整 数 。 鉴 于 P H P 进 行 类 型 比 较 和 转 换 的 方 式 ， 这 是 一 个 问 题 。 比 如 ， 你 会 发 现 以 下 代 码 片 段 会 返 回 返 回 1 2 3 ： 这 导 致 了 非 常 危 险 的 情 形 ， 即 攻 击 者 可 以 提 交 / w p - j s o n / w p / v 2 / p o s t s / 1 2 3 ? i d = 4 5 6 A B C 这 样 的 请 求 来 对 I D 为 4 5 6 的 帖 子 进 行 篡 改 的 帖 子 进 行 篡 改 。 鉴 于 此 类 型 欺 骗 问 题 ， 攻 击 者 便 可 篡 改 受 害 者 网 站 上 的 任 何 帖 子 或 页 面 的 内 容 任 何 帖 子 或 页 面 的 内 容 。 这 样 他 们 便 可 以 添 加 插 件 特 定 的 短 代 码 来 利 用 漏 洞 （ 原 本 仅 限 于 贡 献 者 ） 、 使 用 S E O 垃 圾 邮 件 活 动 感 染 网 站 内 容 或 注 入 广 告 ， 等 等 。 甚 至 可 以 很 容 易 地 执 行 P H P 代 码 — — 取 决 于 网 站 上 启 用 的 插 件 。 结 语 结 语 这 是 一 个 可 以 以 不 同 方 式 利 用 的 严 重 漏 洞 ， 如 果 您 的 网 站 尚 未 启 用 自 动 更 新 ， 请 尽 快 更 新 。 参 考 来 源 ： 参 考 来 源 ： h t t p s : / / b l o g . s u c u r i . n e t / 2 0 1 7 / 0 2 / c o n t e n t - i n j e c t i o n - v u l n e r a b i l i t y - w o r d p r e s s - r e s t - a p i . h t m l h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / n e w s / s e c u r i t y / a t t a c k s - o n - w o r d p r e s s - s i t e s - i n t e n s i f y - a s - h a c k e r s - d e f a c e - o v e r - 1 - 5 - m i l l i o n - p a g e s / h t t p s : / / w w w . s e e b u g . o r g / v u l d b / s s v i d - 9 2 6 3 7 * 本 文 作 者 ： 华 为 未 然 实 验 室 ， 转 载 请 注 明 来 自 F r e e b u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理