搜索

[13485] 2018-12-02_WordPress插件WooCommerce任意文件删除漏洞分析

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2018-12-02_WordPress插件WooCommerce任意文件删除漏洞分析 W o r d P r e s s 插 件 W o o C o m m e r c e 任 意 文 件 删 除 漏 洞 分 析 A l p h a _ h 4 c k   F r e e B u f   2 0 1 8 - 1 2 - 0 2 前 言 前 言 近 期 ， 研 究 人 员 在 近 期 ， 研 究 人 员 在 W o r d P r e s s 的 权 限 处 理 机 制 中 发 现 了 一 个 安 全 漏 洞 ， 而 这 个 漏 洞 将 允 许 的 权 限 处 理 机 制 中 发 现 了 一 个 安 全 漏 洞 ， 而 这 个 漏 洞 将 允 许 W o r d P r e s s 插 件 实 现 插 件 实 现 提 权 。 其 中 一 个 典 型 例 子 就 是 提 权 。 其 中 一 个 典 型 例 子 就 是 W o o C o m m e r c e ， 该 插 件 是 目 前 最 热 门 的 一 款 电 子 商 务 插 件 ， 并 且 拥 有 ， 该 插 件 是 目 前 最 热 门 的 一 款 电 子 商 务 插 件 ， 并 且 拥 有 4 0 0 万 万 + 的 的 安 装 量 。 简 而 言 之 ， 这 个 漏 洞 将 允 许 商 铺 管 理 员 删 除 目 标 服 务 器 上 的 特 定 文 件 ， 并 接 管 管 理 员 帐 号 。 安 装 量 。 简 而 言 之 ， 这 个 漏 洞 将 允 许 商 铺 管 理 员 删 除 目 标 服 务 器 上 的 特 定 文 件 ， 并 接 管 管 理 员 帐 号 。 漏 洞 影 响 漏 洞 影 响 我 们 检 测 并 上 报 了 W o o C o m m e r c e 中 存 在 的 一 个 文 件 删 除 漏 洞 ， 这 个 漏 洞 已 经 在 W o o C o m m e r c e 的 v 3 . 4 . 6 版 本 中 成 功 修 复 。 任 意 文 件 删 除 漏 洞 在 大 多 数 情 况 下 并 不 会 被 认 为 是 一 种 高 危 漏 洞 ， 因 为 攻 击 者 能 做 的 只 有 通 过 删 除 网 站 的 i n d e x . p h p 文 件 来 实 现 拒 绝 服 务 攻 击 。 这 篇 文 章 主 要 介 绍 的 是 如 何 删 除 W o r d P r e s s 服 务 器 中 的 特 定 文 件 ， 并 禁 用 安 全 检 测 ， 最 终 导 致 目 标 网 站 被 完 全 接 管 。 实 际 上 ， 导 致 该 漏 洞 存 在 的 本 质 原 因 是 W o r d P r e s s 的 权 限 系 统 设 计 存 在 缺 陷 ， 并 影 响 到 了 4 0 0 万 + 的 W o o C o m m e r c e 商 铺 。 接 下 来 ， 攻 击 者 只 需 要 拿 到 商 铺 管 理 员 的 用 户 角 色 即 可 。 商 铺 管 理 员 ， 能 够 管 理 订 单 、 产 品 和 客 户 ， 这 种 访 问 权 限 可 以 通 过 X S S 漏 洞 或 网 络 钓 鱼 攻 击 来 获 得 。 当 漏 洞 成 功 利 用 之 后 ， 商 铺 管 理 员 将 能 够 接 管 任 何 一 个 管 理 员 帐 号 ， 然 后 在 服 务 器 上 执 行 代 码 。 漏 洞 演 示 漏 洞 演 示 视 频 地 址 ： h t t p s : / / b l o g . r i p s t e c h . c o m / v i d e o s / w o r d p r e s s - d e s i g n - f l a w . m p 4 漏 洞 扫 描 报 告 ： 【 R I P S 扫 描 报 告 】 技 术 细 节 技 术 细 节 W o r d P r e s s 的 权 限 处 理 机 制 主 要 是 通 过 给 不 同 角 色 提 供 不 同 的 功 能 来 实 现 的 ， 当 商 铺 管 理 员 角 色 被 定 义 之 后 ， 它 便 会
给 这 个 角 色 分 配 e d i t _ u s e r s 功 能 ， 这 样 他 们 就 可 以 直 接 管 理 商 铺 的 客 户 账 号 了 。 整 个 权 限 分 配 过 程 发 生 在 插 件 插 件 饿 的 安 装 过 程 当 中 。 w o o c o m m e r c e / i n c l u d e s / c l a s s - w c - i n s t a l l . p h p ： 角 色 权 限 信 息 会 以 W o r d P r e s s 核 心 设 置 存 储 在 数 据 库 中 ， 这 也 就 意 味 着 用 户 角 色 现 在 已 经 独 立 于 插 件 了 ， 即 使 插 件 不 启 用 ， 也 不 会 影 响 到 相 关 的 角 色 权 限 。 当 一 名 通 过 身 份 验 证 的 用 户 尝 试 修 改 其 他 用 户 信 息 时 ， 便 会 调 用 c u r r e n t _ u s e r _ c a n ( ) 函 数 ， 然 后 确 保 只 有 特 权 用 户 可 以 执 行 这 种 操 作 。 c u r r e n t _ u s e r _ c a n ( ) 函 数 调 用 样 例 ： 调 用 的 验 证 逻 辑 如 下 ： 这 个 用 户 想 使 用 $ t a r g e t _ u s e r _ i d 这 个 I D 来 修 改 特 定 的 用 户 ， 他 是 否 有 权 限 执 行 ？ 默 认 配 置 下 ， e d i t _ u s e r s 功 能 允 许 有 权 限 的 用 户 （ 例 如 商 铺 管 理 员 ） 来 编 辑 其 他 用 户 ， 甚 至 是 管 理 员 用 户 ， 然 后 执 行 类 似 密 码 更 新 这 样 的 操 作 。 出 于 安 全 因 素 考 虑 ， W o o C o m m e r c e 需 要 指 定 商 铺 管 理 员 是 否 能 够 编 辑 用 户 ， 因 此 ， 插 件 需 要 增 加 m e t a 权 限 功 能 。 M e t a 功 能 可 以 被 c u r r e n t _ u s e r _ c a n ( ) 调 用 。 默 认 行 为 下 函 数 返 回 的 值 为 t r u e ， 但 m e t a 权 限 函 数 返 回 的 值 可 以 决 定 当 前 用 户 是 否 可 以 执 行 这 样 的 操 作 。 下 面 给 出 的 是 W o o C o m m e r c e   m e t a 权 限 过 滤 器 的 抽 象 函 数 代 码 ： 比 如 说 ， 当 c u r r e n t _ u s e r _ c a n ( ‘ e d i t _ u s e r ’ ,   1 ) 被 调 用 时 ， 过 滤 器 将 会 判 断 I D 为 1   ( $ t a r g e t _ u s e r _ i d ) 的 用 户 是 否 是 管 理 员 ， 并 根 据 结 果 来 决 定 是 否 允 许 用 户 操 作 。 商 铺 管 理 员 禁 用 插 件 商 铺 管 理 员 禁 用 插 件 默 认 情 况 下 ， 只 有 管 理 员 可 以 禁 用 插 件 。 但 是 这 个 漏 洞 允 许 商 铺 管 理 员 删 除 服 务 器 上 的 任 意 可 写 文 件 ， 所 以 我 们 我 们 额 可 以 通 过 删 除 W o o C o m m e r c e 的 主 文 件 - w o o c o m m e r c e . p h p 来 禁 止 W o r d P r e s s 加 载 该 插 件 。 这 个 文 件 删 除 漏 洞 存 在 于 W o o C o m m e r c e 的 日 志 记 录 功 能 中 ， 日 志 会 以 . l o g 文 件 的 形 式 存 储 在 w p - c o n t e n t 目 录 中 。 当 商 铺 管 理 员 想 要 删 除 日 志 文 件 时 ， 他 需 要 以 G E T 参 数 来 提 交 文 件 名 。 下 面 显 示 的 代 码 段 就 是 存 在 漏 洞 的 部 分 ： w o o c o m m e r c e / i n c l u d e s / a d m i n / c l a s s - w c - a d m i n - s t a t u s . p h p w o o c o m m e r c e / i n c l u d e s / l o g - h a n d l e r s / c l a s s - w c - l o g - h a n d l e r - f i l e . p h p 这 里 的 问 题 就 在 于 ， 文 件 名 ( $ h a n d l e ) 会 被 添 加 到 目 录 ( w p - c o n t e n t / w c - l o g / ) 后 ， 然 后 传 递 给 u n l i n k ( ) 函 数 ， 在 设 置 “ $ h a n d l e . . / . . / p l u g i n s / w o o c o m m e r c e - 3 . 4 . 5 / w o o c o m m e r c e . p h p ” 时 ， 文 件 w p - c o n t e n t / w c - l o g s / . . / . . / p l u g i n s / w o o c o m m e r c e - 3 . 4 . 5 / w o o c o m m e r c e . p h p 将 会 被 删 除 ， 并 导 致 W o o C o m m e r c e 被 禁 用 。 总 结 总 结 在 之 前 的 文 章 中 ， 我 们 介 绍 过 如 何 去 利 用 W o r d P r e s s 的 文 件 删 除 漏 洞 了 ， 并 且 演 示 了 如 何 将 文 件 删 除 提 升 为 远 程 代 码 执 行 。 这 篇 文 章 主 要 介 绍 的 是 W o r d P r e s s 插 件 中 的 文 件 删 除 漏 洞 ， 而 这 些 漏 洞 将 允 许 攻 击 者 在 使 用 了 m e t a 权 限 的 W o r d P r e s s 站 点 上 实 现 提 权 。 值 得 一 提 的 是 ， 这 种 设 计 缺 陷 短 时 间 内 是 无 法 修 复 的 ， 而 且 文 件 删 除 漏 洞 很 常 见 ， 甚 至 是 W o r d P r e s s 的 内 核 本 身 也 存 在 这 种 漏 洞 。 除 此 之 外 ， 在 某 些 特 定 环 境 下 文 件 删 除 漏 洞 还 可 以 配 合 P h a r 反 序 列 化 漏 洞 / / S h o p   m a n a g e r   r o l e . a d d _ r o l e (               ' s h o p _ m a n a g e r ' ,             / /   I n t e r n a l   n a m e   o f   t h e   n e w   r o l e               ' S h o p   m a n a g e r ' ,             / /   T h e   l a b e l   f o r   d i s p l a y i n g               a r r a y (                               / /   C a p a b i l i t i e s                                 ⋮                             ' r e a d _ p r i v a t e _ p o s t s '           = >   t r u e ,                             ' e d i t _ u s e r s '                           = >   t r u e ,                             ' e d i t _ p o s t s '                           = >   t r u e ,                                 ⋮               ) ) ; $ t a r g e t _ u s e r _ i d =   $ _ G E T [ ' t a r g e t _ u s e r _ i d ' ] ; i f ( c u r r e n t _ u s e r _ c a n ( ' e d i t _ u s e r ' , $ t a r g e t _ u s e r _ i d ) )   {         e d i t _ u s e r ( $ t a r g e t _ u s e r _ i d ) ; } f u n c t i o n   d i s a l l o w _ e d i t i n g _ o f _ a d m i n s (   $ c a p a b i l i t y ,   $ t a r g e t _ u s e r _ i d   )   {                 / /   I f   t h e   u s e r   i s   a n   a d m i n   r e t u r n   f a l s e   a n d d i s a l l o w   t h e   a c t i o n         i f ( $ c a p a b i l i t y   = =   " e d i t _ u s e r " & &   u s e r _ i s _ a d m i n ( $ t a r g e t _ u s e r _ i d ) )   {                 r e t u r n   f a l s e ;         }   e l s e   {                 r e t u r n   t r u e ;         } } a d d _ f i l t e r ( ' m a p _ m e t a _ c a p ' ,   ' d i s a l l o w _ e d i t i n g _ o f _ a d m i n s ' ) ; c l a s s   W C _ A d m i n _ S t a t u s {         p u b l i c   s t a t i c   f u n c t i o n   r e m o v e _ l o g ( )         {         ⋮                 $ l o g _ h a n d l e r   =   n e w W C _ L o g _ H a n d l e r _ F i l e ( ) ;               $ l o g _ h a n d l e r - > r e m o v e ( w p _ u n s l a s h ( $ _ R E Q U E S T [ ' h a n d l e ' ] ) ) ; } c l a s s   W C _ L o g _ H a n d l e r _ F i l e   e x t e n d s   W C _ L o g _ H a n d l e r {         p u b l i c   f u n c t i o n   r e m o v e ( $ h a n d l e )         {         ⋮                 $ f i l e   =   t r a i l i n g s l a s h i t ( W C _ L O G _ D I R )   . $ h a n d l e ;         ⋮ u n l i n k ( $ f i l e ) ;
一 起 使 用 。 * 参 考 来 源 ： r i p s t e c h ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理