搜索

[15728] 2020-08-14_WordPress插件漏洞分析：WPDiscuz任意文件上传漏洞

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-18
2020-08-14_WordPress插件漏洞分析：WPDiscuz任意文件上传漏洞 W o r d P r e s s 插 件 漏 洞 分 析 ： W P D i s c u z 任 意 文 件 上 传 漏 洞 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 0 8 - 1 4 写 在 前 面 的 话 写 在 前 面 的 话 就 在 不 久 之 前 ， W o r d f e n c e 的 威 胁 情 报 团 队 在 一 款 名 叫 w p D i s c u z 的 W o r d p r e s s 评 论 插 件 中 发 现 了 一 个 高 危 漏 洞 ， 而 这 款 插 件 目 前 已 有 超 过 8 0 0 0 0 个 网 站 在 使 用 了 。 这 个 漏 洞 将 允 许 未 经 认 证 的 攻 击 者 在 目 标 站 点 中 上 传 任 意 文 件 ， 其 中 也 包 括 P H P 文 件 ， 该 漏 洞 甚 至 还 允 许 攻 击 者 在 目 标 站 点 的 服 务 器 中 实 现 远 程 代 码 执 行 。 漏 洞 简 述 漏 洞 简 述 漏 洞 描 述 ： 任 意 文 件 上 传 受 影 响 插 件 ： 评 论 插 件 –   w p D i s c u z 受 影 响 版 本 ： 7 . 0 . 0   –   7 . 0 . 4 C V S S 评 分 :   1 0 . 0   ( 严 重 ) C V S S   V e c t o r :   C V S S : 3 . 1 / A V : N / A C : L / P R : N / U I : N / S : C / C : H / I : H / A : H 修 复 版 本 ： 7 . 0 . 5 一 直 以 来 ， W o r d P r e s s 自 带 的 评 论 功 能 都 是 非 常 简 单 基 础 的 ， 不 能 够 满 足 对 评 论 互 动 比 较 重 视 的 网 站 。 w p D i s c u z 是 一 款 非 常 好 用 的 W o r d P r e s s 评 论 增 强 插 件 ， 并 且 提 供 了 自 定 义 评 论 表 单 和 字 段 的 A J A X 实 时 评 论 系 统 ， 旨 在 增 强 W o r d P r e s s 内 置 评 论 功 能 。 在 该 插 件 的 7 . x . x 版 本 中 ， w p D i s c u z 新 增 了 在 评 论 中 上 传 图 片 附 件 的 功 能 ， 但 不 幸 的 是 ， 该 功 能 的 实 现 缺 乏 安 全 保 护 ， 从 而 导 致 了 该 漏 洞 的 出 现 。 w p D i s c u z 的 评 论 只 允 许 用 户 上 传 图 片 附 件 ， 但 由 于 其 使 用 的 文 件 M I M E 类 型 检 测 函 数 没 有 对 文 件 类 型 进 行 正 确 验 证 ， 因 此 未 经 身 份 验 证 的 用 户 将 能 够 上 传 任 何 类 型 的 文 件 ， 其 中 也 包 括 P H P 文 件 。 检 查 文 件 检 查 文 件 M I M E 类 型 类 型 g e t M i m e T y p e 函 数 使 用 了 三 种 不 同 的 方 法 来 检 测 一 个 文 件 的 M I M E 类 型 。 第 一 个 方 法 为 m i m e _ c o n t e n t _ t y p e ， 它 能 够 根 据 文 件 的 内 容 来 判 断 文 件 类 型 。 如 果 P H P 函 数 无 法 使 用 ， 它 将 会 使 用 f i n f o _ f i l e 方 法 ， 这 个 方 法 同 样 能 够 根 据 文 件 的 内 容 来 判 断 文 件 类 型 。 最 后 ， 如 果 这 个 方 法 仍 然 无 法 使 用 的 话 ， 它 将 会 使 用 w p _ c h e c k _ f i l e t y p e 方 法 ， 这 个 方 法 是 W o r d P r e s s 指 定 的 文 件 类 型 检 测 方 法 ， 它 能 够 根 据 文 件 名 来 检 测 文 件 的 M I M E 类 型 ， 并 于 内 置 的 文 件 类 型 白 名 单 列 表 进 行 匹 配 。 从 字 节 角 度 来 看 ， 大 多 数 文 件 的 起 始 字 节 都 是 一 些 特 定 的 签 名 ， 我 们 可 以 通 过 这 些 字 节 来 判 断 文 件 的 M I M E 类 型 。 但 是 ， P H P 在 处 理 文 件 时 ， 会 忽 略 < ? p h p 标 签 前 面 的 所 有 内 容 。 因 此 ， 前 两 个 检 测 函 数 所 使 用 的 方 法 就 可 以 通 过 添 加 图 片 类 型 的 签 名 字 节 来 绕 过 了 。 比 如 说 ， 用 户 可 以 在 P H P 文 件 的 开 头 加 入 p n g 文 件 的 签 名 字 节 ， 比 如 说 “ 8 9   5 0   4 E   4 7   0 D   0 A   1 A   0 A ” ， 这 样 就 能 绕 过 前 两 个 检 测 函 数 了 。 f o r e a c h   ( $ f i l e s   a s   $ f i l e )   {
验 证 允 许 的 文 件 类 型 验 证 允 许 的 文 件 类 型 i s A l l o w e d F i l e T y p e 函 数 导 致 这 个 漏 洞 更 加 严 重 了 ， 这 个 函 数 能 够 使 用 g e t M i m e T y p e 函 数 来 检 测 目 标 文 件 是 否 属 于 允 许 上 传 的 文 件 类 型 。 由 于 这 个 函 数 是 根 据 文 件 内 容 来 判 断 文 件 M I M E 类 型 的 ， 所 以 绕 过 该 函 数 的 检 测 并 非 难 事 。 漏 洞 利 用 漏 洞 利 用     $ e r r o r   =   f a l s e ;     $ e x t e n s i o n   =   p a t h i n f o ( $ f i l e [ " n a m e " ] ,   P A T H I N F O _ E X T E N S I O N ) ;     $ m i m e T y p e   =   $ t h i s - > g e t M i m e T y p e ( $ f i l e ,   $ e x t e n s i o n ) ; p r i v a t e   f u n c t i o n   g e t M i m e T y p e ( $ f i l e ,   $ e x t e n s i o n )   {           $ m i m e T y p e   =   " " ;           i f   ( f u n c t i o n _ e x i s t s ( " m i m e _ c o n t e n t _ t y p e " ) )   {                   $ m i m e T y p e   =   m i m e _ c o n t e n t _ t y p e ( $ f i l e [ " t m p _ n a m e " ] ) ;           }   e l s e i f   ( f u n c t i o n _ e x i s t s ( " f i n f o _ o p e n " )   & &   f u n c t i o n _ e x i s t s ( " f i n f o _ f i l e " ) )   {                   $ f i n f o   =   f i n f o _ o p e n ( F I L E I N F O _ M I M E _ T Y P E ) ;                   $ m i m e T y p e   =   f i n f o _ f i l e ( $ f i n f o ,   $ f i l e [ " t m p _ n a m e " ] ) ;           }   e l s e i f   ( $ e x t e n s i o n )   {                   $ m a t c h e s   =   w p _ c h e c k _ f i l e t y p e ( $ f i l e [ " n a m e " ] ,   $ t h i s - > o p t i o n s - > c o n t e n t [ " w m u M i m e T y p e s " ] ) ;                   $ m i m e T y p e   =   e m p t y ( $ m a t c h e s [ " t y p e " ] )   ?   " "   :   $ m a t c h e s [ " t y p e " ] ;           }           r e t u r n   $ m i m e T y p e ;   } p r i v a t e   f u n c t i o n   i s A l l o w e d F i l e T y p e ( $ m i m e T y p e )   {           $ i s A l l o w e d   =   f a l s e ;           i f   ( ! e m p t y ( $ t h i s - > o p t i o n s - > c o n t e n t [ " w m u M i m e T y p e s " ] )   & &   i s _ a r r a y ( $ t h i s - > o p t i o n s - > c o n t e n t [ " w m u M i m e T y p e s " ] ) )   {                   $ i s A l l o w e d   =   i n _ a r r a y ( $ m i m e T y p e ,   $ t h i s - > o p t i o n s - > c o n t e n t [ " w m u M i m e T y p e s " ] ) ;           }           r e t u r n   $ i s A l l o w e d ;   }
这 也 就 意 味 着 ， 攻 击 者 将 能 够 创 建 任 意 文 件 类 型 ， 并 添 加 图 形 文 件 标 识 字 节 ， 这 样 就 能 够 绕 过 文 件 内 容 验 证 检 测 了 。 如 果 想 要 利 用 一 个 P H P 文 件 来 绕 过 检 测 的 话 ， 请 求 的 大 致 内 容 应 该 如 下 ： 文 件 路 径 地 址 会 在 请 求 的 响 应 内 容 中 返 回 ， 这 样 用 户 将 能 够 获 取 到 文 件 的 地 址 ， 并 访 问 上 传 到 服 务 器 中 的 文 件 。 因 此 ， 攻 击 者 将 能 够 上 传 任 意 P H P 文 件 ， 并 通 过 访 问 这 些 文 件 来 实 现 在 服 务 器 端 的 任 意 代 码 执 行 。 一 旦 成 功 利 用 该 漏 洞 ， 攻 击 者 将 能 够 在 目 标 服 务 器 上 执 行 任 意 代 码 ， 遍 历 目 标 用 户 的 托 管 账 号 ， 从 而 利 用 恶 意 代 码 进 一 步 感 染 该 账 户 中 托 管 的 其 他 站 点 。 总 结 总 结 在 这 篇 文 章 中 ， 我 们 对 w p D i s c u z 插 件 中 的 一 个 高 危 漏 洞 进 行 了 详 细 分 析 ， 并 介 绍 了 漏 洞 的 利 用 方 法 。 目 前 ， 该 漏 洞 已 在 w p D i s c u z 的 7 . 0 . 5 版 本 中 完 全 修 复 ， 因 此 我 们 建 议 广 大 用 户 立 刻 将 w p D i s c u z 插 件 更 新 至 最 新 版 本 。 精 彩 推 荐 精 彩 推 荐 - - - - - - W e b K i t F o r m B o u n d a r y X P e R F A X C S 9 q P c 2 s B C o n t e n t - D i s p o s i t i o n :   f o r m - d a t a ;   n a m e = " w m u _ f i l e s [ 0 ] " ;   f i l e n a m e = " m y p h p f i l e . p h p " C o n t e n t - T y p e :   a p p l i c a t i o n / p h p ‰ P N G
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理