搜索

[15619] 2020-07-18_BBPress未经身份验证的提权漏洞分析

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-07-18_BBPress未经身份验证的提权漏洞分析 B B P r e s s 未 经 身 份 验 证 的 提 权 漏 洞 分 析 N e r o q i   F r e e B u f   2 0 2 0 - 0 7 - 1 8 前 言 前 言 B B P r e s s 是 一 款 强 大 的 W o r d P r e s s 论 坛 插 件 ， 目 前 B B P r e s s 被 安 装 在 超 过 3 0 万 个 W o r d P r e s s 站 点 上 。 最 近 B B P r e s s < = 2 . 6 . 4 的 版 本 中 被 曝 出 了 一 个 未 经 身 份 验 证 的 权 限 提 升 漏 洞 ， C V S S 评 分 为 9 . 8 。 通 过 利 用 该 漏 洞 ， 可 以 将 新 用 户 注 册 为 B B P r e s s 论 坛 的 管 理 员 ， 从 而 能 够 进 行 创 建 / 删 除 论 坛 活 动 、 导 入 / 导 出 论 坛 用 户 以 及 创 建 版 主 等 操 作 。 本 文 对 该 漏 洞 进 行 了 详 细 分 析 。 实 验 环 境 实 验 环 境 漏 洞 分 析 漏 洞 分 析 1 . 在 分 析 了 源 码 之 后 ， 发 现 在 用 户 注 册 时 调 用 了 过 滤 器 钩 子 函 数 a d d _ f i l t e r ， 其 中 挂 载 回 调 函 数 的 过 滤 器 名 称 为 s i g n u p _ u s e r _ m e t a ， 过 滤 器 应 用 时 调 用 的 回 调 函 数 为 b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a ， 详 细 代 码 如 下 ： 2 . 分 析 步 骤 1 在 a d d _ f i l t e r 中 被 调 用 的 函 数 b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a ， 该 函 数 的 详 细 代 码 如 下 ： 2 . 1 函 数 b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a 使 用 P O S T 方 式 获 取 参 数 b b p - f o r u m s - r o l e 的 值 ， 若 用 户 通 过 P O S T 方 式 传 入 了 b b p - f o r u m s - r o l e 值 ， 那 么 将 其 赋 值 给 变 量 $ f o r u m _ r o l e ； 若 未 有 b b p - f o r u m s - r o l e 值 传 入 ， 那 么 将 B B P r e s s 默 认 的 用 户 角 色 赋 值 给 $ f o r u m _ r o l e ； 2 . 2 该 函 数 调 用 b b p _ g e t _ d y n a m i c _ r o l e s ( ) 函 数 ， 获 取 B B P r e s s 预 定 义 角 色 的 数 组 ； 2 . 3 接 着 检 测 $ f o r u m _ r o l e 是 否 为 空 ， 并 且 检 测 其 是 否 在 B B P r e s s 预 定 义 角 色 的 数 组 中 ； 2 . 4 由 此 可 以 推 测 ， 要 破 坏 程 序 的 正 常 逻 辑 ， 只 要 将 有 效 的 用 户 角 色 赋 值 给 b b p - f o r u m s - r o l e ， 然 后 通 过 P O S T 方 式 传 递 给 W o r d P r e s s 站 点 即 可 。 3 . 函 数 b b p _ g e t _ d y n a m i c _ r o l e s ( )   迭 代 B B P r e s s 角 色 ， 然 后 将 其 创 建 为 标 准 化 数 组 ， 再 通 过 a p p l y _ f i l t e r s 创 建 一 个 名 为 b b p _ g e t _ d y n a m i c _ r o l e s 的 过 滤 器 ， 详 细 代 码 如 下 ： 1 . 测 试 工 具 ： B u r p S u i t e   v 2 . 1 2 . 目 标 主 机 ： D e b i a n 9 . 6   x 6 4 3 . 软 件 版 本 ： W o r d P r e s s   5 . 2 . 2 4 . 插 件 版 本 ： B B P r e s s 2 . 6 . 4 a d d _ f i l t e r (   ' s i g n u p _ u s e r _ m e t a ' ,   ' b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a ' ,   1 0   ) ; f u n c t i o n   b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a (   $ m e t a   =   a r r a y ( )   )   {         $ f o r u m _ r o l e   =   i s s e t (   $ _ P O S T [ ' b b p - f o r u m s - r o l e ' ]   )                 ?   s a n i t i z e _ k e y (   $ _ P O S T [ ' b b p - f o r u m s - r o l e ' ]   )                 :   b b p _ g e t _ d e f a u l t _ r o l e ( ) ;         $ r o l e s   =   a r r a y _ k e y s (   b b p _ g e t _ d y n a m i c _ r o l e s ( )   ) ;         i f   (   e m p t y (   $ f o r u m _ r o l e   )   | |   !   i n _ a r r a y (   $ f o r u m _ r o l e ,   $ r o l e s ,   t r u e   )   )   {                 r e t u r n   $ m e t a ;         }         $ m e t a [ ' b b p _ n e w _ r o l e ' ]   =   $ f o r u m _ r o l e ;         r e t u r n   $ m e t a ; }
4 . 函 数 b b p _ g e t _ k e y m a s t e r _ r o l e ( ) 将 b b p _ g e t _ k e y m a s t e r _ r o l e 角 色 设 置 为 b b p _ k e y m a s t e r ， 这 表 明 我 们 只 有 在 p o s t 请 求 的 末 尾 添 加 b b p _ k e y m a s t e r ， 才 能 将 定 制 的 用 户 成 功 注 册 为 b b p _ k e y m a s t e r 用 户 ， 最 终 获 取 B B P r e s s 的 最 高 等 级 权 限 ， 该 函 数 的 详 细 代 码 如 下 ： 漏 洞 修 复 漏 洞 修 复 1 . 此 漏 洞 在 2 . 6 . 5 版 本 中 得 到 修 复 ， 修 复 后 代 码 的 不 同 之 处 主 要 在 于 函 数 b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a ， 其 中 新 增 调 用 了 函 数 b b p _ v a l i d a t e _ r e g i s t r a t i o n _ r o l e (   $ t o _ v a l i d a t e   ) ， 对 P O S T 传 入 的 b b p - f o r u m s - r o l e 参 数 值 进 行 了 过 滤 ， 详 细 代 码 如 下 ： 2 . 函 数 b b p _ v a l i d a t e _ r e g i s t r a t i o n _ r o l e 检 测 当 前 是 否 处 于 W o r d P r e s s 后 台 控 制 面 板 中 ， 并 且 当 前 用 户 是 否 具 有 创 建 用 户 的 权 限 ， 若 这 两 个 条 件 同 时 为 T r u e ， 那 么 可 以 创 建 任 意 角 色 的 用 户 ； 否 则 只 能 创 建 默 认 角 色 的 用 户 （ 默 认 角 色 为 b b p _ p a r t i c i p a n t ） 。 详 细 代 码 如 下 所 示 ： 3 . 通 过 函 数 b b p _ g e t _ d e f a u l t _ r o l e 可 以 获 取 默 认 的 用 户 角 色 ， 详 细 代 码 如 下 所 示 ： f u n c t i o n   b b p _ g e t _ d y n a m i c _ r o l e s ( )   {         $ t o _ a r r a y   =   a r r a y ( ) ;         $ r o l e s         =   b b p r e s s ( ) - > r o l e s ;         f o r e a c h   (   $ r o l e s   a s   $ r o l e _ i d   = >   $ w p _ r o l e   )   {                 $ t o _ a r r a y [   $ r o l e _ i d   ]   =   ( a r r a y )   $ w p _ r o l e ;         }         r e t u r n   ( a r r a y )   a p p l y _ f i l t e r s (   ' b b p _ g e t _ d y n a m i c _ r o l e s ' ,   $ t o _ a r r a y ,   $ r o l e s   ) ; } f u n c t i o n   b b p _ g e t _ k e y m a s t e r _ r o l e ( )   {         r e t u r n   a p p l y _ f i l t e r s (   ' b b p _ g e t _ k e y m a s t e r _ r o l e ' ,   ' b b p _ k e y m a s t e r '   ) ; } f u n c t i o n   b b p _ u s e r _ a d d _ r o l e _ t o _ s i g n u p _ m e t a (   $ m e t a   =   a r r a y ( )   )   {         i f   (   !   e m p t y (   $ m e t a [ ' b b p _ n e w _ r o l e ' ]   )   )   {                 r e t u r n   $ m e t a ;         }         $ t o _ v a l i d a t e   =   !   e m p t y (   $ _ P O S T [ ' b b p - f o r u m s - r o l e ' ]   )   & &   i s _ s t r i n g (   $ _ P O S T [ ' b b p - f o r u m s - r o l e ' ]   )                 ?   s a n i t i z e _ k e y (   $ _ P O S T [ ' b b p - f o r u m s - r o l e ' ]   )                 :   ' ' ;         $ v a l i d _ r o l e   =   b b p _ v a l i d a t e _ r e g i s t r a t i o n _ r o l e (   $ t o _ v a l i d a t e   ) ;         i f   (   b b p _ h a s _ e r r o r s ( )   )   {                 r e t u r n   $ m e t a ;         }         $ m e t a [ ' b b p _ n e w _ r o l e ' ]   =   $ v a l i d _ r o l e ;         r e t u r n   $ m e t a ; } f u n c t i o n   b b p _ v a l i d a t e _ r e g i s t r a t i o n _ r o l e (   $ t o _ v a l i d a t e   =   ' '   )   {         $ r e t v a l   =   b b p _ g e t _ d e f a u l t _ r o l e ( ) ;         i f   (   i s _ a d m i n ( )   & &   c u r r e n t _ u s e r _ c a n (   ' c r e a t e _ u s e r s '   )   )   {                 $ r e t v a l   =   $ t o _ v a l i d a t e ;         }         r e t u r n   b b p _ v a l i d a t e _ s i g n u p _ r o l e (   $ r e t v a l   ) ; } f u n c t i o n   b b p _ g e t _ d e f a u l t _ r o l e (   $ d e f a u l t   =   ' b b p _ p a r t i c i p a n t '   )   {
4 . 函 数 b b p _ v a l i d a t e _ r e g i s t r a t i o n _ r o l e 在 末 尾 调 用 了 b b p _ v a l i d a t e _ s i g n u p _ r o l e (   $ r e t v a l   ) 函 数 ， 函 数 b b p _ v a l i d a t e _ s i g n u p _ r o l e (   $ r e t v a l   ) 主 要 是 通 过 调 用 b b p _ i s _ v a l i d _ r o l e 函 数 来 验 证 用 户 角 色 是 否 合 法 ， 详 细 代 码 如 下 ： 5 . 函 数 b b p _ i s _ v a l i d _ r o l e 的 详 细 代 码 如 下 ： 总 结 总 结 关 于 B B P r e s s < = 2 . 6 . 4 版 本 中 的 未 经 身 份 验 证 的 权 限 提 升 漏 洞 的 分 析 与 修 复 就 到 这 里 ， 建 议 及 时 将 B B P r e s s 升 级 到 最 新 版 本 2 . 6 . 5 。 精 彩 推 荐 精 彩 推 荐 f u n c t i o n   b b p _ g e t _ d e f a u l t _ r o l e (   $ d e f a u l t   =   ' b b p _ p a r t i c i p a n t '   )   {         r e t u r n   a p p l y _ f i l t e r s (   ' b b p _ g e t _ d e f a u l t _ r o l e ' ,   g e t _ o p t i o n (   ' _ b b p _ d e f a u l t _ r o l e ' ,   $ d e f a u l t   )   ) ; } f u n c t i o n   b b p _ v a l i d a t e _ s i g n u p _ r o l e (   $ t o _ v a l i d a t e   =   ' '   )   {         $ r e t v a l   =   ' ' ;         i f   (   e m p t y (   $ t o _ v a l i d a t e   )   )   {                 b b p _ a d d _ e r r o r (   ' b b p _ s i g n u p _ r o l e _ e m p t y ' ,   _ _ (   ' E R R O R :   E m p t y   r o l e . ' ,   ' b b p r e s s '   )   ) ;         }         i f   (   !   b b p _ i s _ v a l i d _ r o l e (   $ t o _ v a l i d a t e   )   )   {                 b b p _ a d d _ e r r o r (   ' b b p _ s i g n u p _ r o l e _ i n v a l i d ' ,   _ _ (   ' E R R O R :   I n v a l i d   r o l e . ' ,   ' b b p r e s s '   )   ) ;         }         i f   (   !   b b p _ h a s _ e r r o r s ( )   )   {                 $ r e t v a l   =   $ t o _ v a l i d a t e ;         }         r e t u r n   ( s t r i n g )   a p p l y _ f i l t e r s (   ' b b p _ v a l i d a t e _ s i g n u p _ r o l e ' ,   $ r e t v a l ,   $ t o _ v a l i d a t e   ) ; } f u n c t i o n   b b p _ i s _ v a l i d _ r o l e (   $ r o l e   =   ' '   )   {         $ r e t v a l   =   f a l s e ;         i f   (   !   e m p t y (   $ r o l e   )   & &   i s _ s t r i n g (   $ r o l e   )   )   {                 $ r o l e s   =   a r r a y _ k e y s (   b b p _ g e t _ d y n a m i c _ r o l e s ( )   ) ;                 i f   (   !   e m p t y (   $ r o l e s   )   )   {                         $ r e t v a l   =   i n _ a r r a y (   $ r o l e ,   $ r o l e s ,   t r u e   ) ;                 }         }         r e t u r n   ( b o o l )   a p p l y _ f i l t e r s (   ' b b p _ i s _ v a l i d _ r o l e ' ,   $ r e t v a l ,   $ r o l e   ) ; }
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理