搜索

[28808] 2021-03-16_WordPressTutorLMS插件漏洞

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2021-03-16_WordPressTutorLMS插件漏洞 W o r d P r e s s   T u t o r   L M S 插 件 漏 洞 O t s 安 全   2 0 2 1 - 0 3 - 1 6 2 0 2 0 年 1 2 月 1 5 日 ， 我 们 的 威 胁 情 报 小 组 负 责 任 地 披 露 了 T u t o r   L M S 中 的 几 个 漏 洞 ， 该 漏 洞 已 安 装 在 2 0 , 0 0 0 多 个 站 点 上 ， 这 是 一 个 W o r d P r e s s 插 件 。 前 五 个 缺 陷 使 经 过 身 份 验 证 的 攻 击 者 有 可 能 在 W o r d P r e s s 网 站 上 注 入 并 执 行 任 意 S Q L 语 句 。 这 使 攻 击 者 可 以 获 得 存 储 在 站 点 数 据 库 中 的 信 息 ， 包 括 用 户 凭 据 ， 站 点 选 项 和 其 他 敏 感 信 息 。 剩 下 的 缺 陷 使 经 过 身 份 验 证 的 攻 击 者 可 以 执 行 多 种 未 经 授 权 的 操 作 ， 如 升 级 用 户 权 限 并 通 过 使 用 各 种 A J A X 操 作 来 修 改 课 程 设 置 。 我 们 最 初 在 2 0 2 0 年 1 2 月 1 5 日 与 T M S   L M S 联 系 。 我 们 收 到 了 确 认 在 2 0 2 0 年 1 2 月 2 1 日 处 理 讨 论 的 适 当 收 件 箱 的 回 复 ， 并 在 当 天 提 供 了 完 整 的 披 露 详 细 信 息 。 导 师 L M S 在 一 天 后 承 认 了 我 们 的 报 告 ， 并 于 2 0 2 0 年 1 2 月 3 0 日 发 布 了 第 一 批 补 丁 。 在 进 行 了 一 些 后 续 跟 进 和 一 些 修 订 之 后 ， 该 插 件 的 补 丁 版 本 已 于 2 0 2 1 年 2 月 1 6 日 发 布 。 某 些 已 修 补 的 漏 洞 非 常 严 重 。 因 此 ， 我 们 强 烈 建 议 立 即 更 新 到 修 补 程 序 版 本 1 . 8 . 3 。 W o r d f e n c e   P r e m i u m 用 户 在 2 0 2 0 年 1 2 月 1 5 日 收 到 了 防 火 墙 规 则 ， 以 防 止 针 对 这 些 漏 洞 的 任 何 攻 击 。 仍 在 使 用 免 费 版 本 W o r d f e n c e 的 网 站 在 2 0 2 1 年 1 月 1 4 日 获 得 了 相 同 的 保 护 。 在 找 到 一 种 绕 过 现 有 保 护 措 施 的 方 法 之 后 ， 我 们 在 2 0 2 1 年 2 月 2 5 日 发 布 了 另 一 项 防 火 墙 规 则 。 仍 在 使 用 免 费 版 本 W o r d f e n c e 的 网 站 将 于 2 0 2 1 年 3 月 2 7 日 获 得 该 保 护 。 S Q L 注 入 漏 洞 类 型 简 介 注 入 漏 洞 类 型 简 介 在 今 天 的 帖 子 中 ， 我 们 将 介 绍 在 T u t o r   L M S 中 发 现 的 几 种 不 同 类 型 的 S Q L   I n j e c t i o n 漏 洞 。 在 深 入 研 究 漏 洞 之 前 ， 了 解 不 同 类 型 的 S Q L 注 入 漏 洞 以 及 如 何 利 用 它 们 非 常 重 要 。 本 节 详 细 介 绍 了 我 们 今 天 将 要 揭 示 的 三 种 S Q L 注 入 类 型 之 间 的 差 异 。 基 于 基 于 盲 注 的 S Q L 注 入 当 将 S Q L 语 句 或 查 询 添 加 到 已 经 存 在 的 S Q L 查 询 中 时 ， 就 会 出 现 盲 注 S Q L 注 入 漏 洞 ， 其 中 响 应 将 仅 提 供 对 或 错 的 答 案 ， 而 不 提 供 查 询 的 完 整 结 果 。 攻 击 者 可 以 使 用 特 制 的 子 字 符 串 函 数 查 询 来 一 次 提 取 一 个 字 符 ， 以 此 来 从 数 据 库 中 提 取 信 息 。 基 于 基 于 时 间 的 S Q L 注 入 当 将 S Q L 语 句 或 查 询 添 加 到 已 经 存 在 的 S Q L 查 询 中 时 ， 就 会 出 现 基 于 时 间 的 S Q L 注 入 漏 洞 ， 但 是 ， 无 法 从 请 求 响 应 中 显 式 收 集 任 何 数 据 。 相 反 ， 您 必 须 依 靠 使 用 基 于 时 间 的 S Q L 函 数 （ 例 如 S L E E P ( ) 和 ） ， W A I T F O R ( ) 同 时 观 察 响 应 时 间 才 能 从 数 据 库 获 取 查 询 结 果 。 就 像 基 于 盲 目 的 S Q L 注 入 一 样 ， 攻 击 者 将 使 用 此 方 法 通 过 特 制 的 包 含 基 于 时 间 的 函 数 的 查 询 ， 一 次 从 一 个 字 符 中 提 取 数 据 库 中 的 信 息 。 基 于 基 于 U N I O N 的 S Q L 注 入 如 果 可 以 将 其 他 S Q L 查 询 作 为 U N I O N 添 加 到 已 经 存 在 的 S Q L 查 询 中 ， 则 会 出 现 基 于 U N I O N 的 S Q L   I n j e c t i o n 漏 洞 。 这 与 前 面 讨 论 的 两 种 S Q L 注 入 类 型 不 同 ， 这 是 因 为 可 以 通 过 使 用 U N I O N 运 算 符 简 单 地 向 现 有 查 询 中 添 加 一 个 附 加 查 询 来 轻 松 提 取 数 据 。 这 是 可 以 利 用 的 最 简 单 ， 最 简 单 的 S Q L 注 入 漏 洞 形 式 之 一 。 攻 击 者 可 以 使 用 此 类 S Q L i ， 通 过 类 似 的 简 单 查 询 从 数 据 库 中 的 任 何 地 方 提 取 数 据 S E L E C T   *   F R O M   w p _ u s e r s ; 。 通 过 该 查 询 ， w p _ u s e r s 将 返 回 表 中 的 所 有 行 。 应 该 注 意 的 是 ， U N I O N 查 询 将 需 要 从 数 据 库 中 检 索 与 原 始 查 询 相 同 数 量 的 行 ， 因 此 ， 在 大 多 数 情 况 下 ， 利 用 这 种 类 型 的 S Q L i 漏 洞 可 能 需 要 反 复 试 验 。 T u t o r   L M S 是 一 个 强 大 的 学 习 管 理 系 统 ， 旨 在 简 化 使 用 W o r d P r e s s 的 销 售 和 创 建 在 线 课 程 。 有 许 多 有 用 的 功 能 ， 例 如 具 有 创 建 和 自 定 义 具 有 不 同 测 试 选 项 的 课 程 的 功 能 ， 方 便 的 用 户 和 教 师 注 册 ， 能 够 对 课 程 进 行 评 论 的 功 能 等 等 。 导 师 L M S 允 许 学 生 留 下 课 程 评 论 。 用 户 确 实 需 要 进 行 身 份 验 证 才 能 发 表 评 论 ， 但 是 ， 在 运 行 T u t o r   L M S 插 件 的 网 站 上 注 册 为 学 生 非 常 容 易 。 为 了 输 入 课 程 的 评 分 ， 该 插 件 会 注 册 一 个 w p _ a j a x _ t u t o r _ p l a c e _ r a t i n g 与 该 t u t o r _ p l a c e _ r a t i n g 功 能 绑 定 的 A J A X 动 作 。 此 功 能 将 处 理 请 求 ， 如 果 当 前 用 户 和 课 程 已 经 存 在 评 论 ， 它 将 更 新 评 分 。 但 是 ， 如 果 不 存 在 评 论 ， 它 将 创 建 一 个 新 的 评 论 并 使 用 该 评 论 更 新 数 据 库 。 S Q L 注 入 漏 洞 说 明 ：   S Q L 注 入 [ 基 于 盲 / 时 间 ] 受 影 响 的 插 件 ：   T u t o r   L M S 插 件 的 子 弹 ：   t u t o r 受 影 响 的 版 本 ：   < =   1 . 7 . 6 C V E   I D ： 待 定 。 C V S S 得 分 ：   6 . 5 （ 中 ） C V S S 向 量 ：     C V S S ： 3 . 1   /   A V ： N   /   A C ： L   /   P R ： L   /   U I ： N   /   S ： U   /   C ： H   /   I ： N   /   A ： N 完 整 版 本 ：   1 . 7   . 7 p u b l i c   f u n c t i o n   t u t o r _ p l a c e _ r a t i n g ( ) {         g l o b a l   $ w p d b ;           / / T O D O :   C h e c k   n o n c e           $ r a t i n g   =   s a n i t i z e _ t e x t _ f i e l d ( t u t o r _ u t i l s ( ) - > a v a l u e _ d o t ( ' r a t i n g ' ,   $ _ P O S T ) ) ;         $ c o u r s e _ i d   =   s a n i t i z e _ t e x t _ f i e l d ( t u t o r _ u t i l s ( ) - > a v a l u e _ d o t ( ' c o u r s e _ i d ' ,   $ _ P O S T ) ) ;         $ r e v i e w   =   w p _ k s e s _ p o s t ( t u t o r _ u t i l s ( ) - > a v a l u e _ d o t ( ' r e v i e w ' ,   $ _ P O S T ) ) ;           $ u s e r _ i d   =   g e t _ c u r r e n t _ u s e r _ i d ( ) ;         $ u s e r   =   g e t _ u s e r d a t a ( $ u s e r _ i d ) ;         $ d a t e   =   d a t e ( " Y - m - d   H : i : s " ,   t u t o r _ t i m e ( ) ) ;           d o _ a c t i o n ( ' t u t o r _ b e f o r e _ r a t i n g _ p l a c e d ' ) ;           $ p r e v i o u s _ r a t i n g _ i d   =   $ w p d b - > g e t _ v a r ( " s e l e c t   c o m m e n t _ I D   f r o m   { $ w p d b - > c o m m e n t s }   W H E R E   c o m m e n t _ p o s t _ I D = { $ c o u r s e _ i d }   A N D   u s e r _ i d   =   { $ u s e r _ i d }   A N D   c o m m e n t _ t y p e   =   ' t u t o r _ c o u r s e _ r a t i n g '   L I M I T   1 ; "           $ r e v i e w _ I D   =   $ p r e v i o u s _ r a t i n g _ i d ;         i f   (   $ p r e v i o u s _ r a t i n g _ i d ) {                 $ w p d b - > u p d a t e (   $ w p d b - > c o m m e n t s ,   a r r a y ( ' c o m m e n t _ c o n t e n t '   = >   $ r e v i e w ) ,                         a r r a y ( ' c o m m e n t _ I D '   = >   $ p r e v i o u s _ r a t i n g _ i d )                 ) ;                   $ r a t i n g _ i n f o   =   $ w p d b - > g e t _ r o w ( " S E L E C T   *   F R O M   { $ w p d b - > c o m m e n t m e t a }   W H E R E   c o m m e n t _ i d   =   { $ p r e v i o u s _ r a t i n g _ i d }   A N D   m e t a _ k e y   =   ' t u t o r _ r a t i n g ' ;   " ) ;                 i f   ( $ r a t i n g _ i n f o ) {                         $ w p d b - > u p d a t e (   $ w p d b - > c o m m e n t m e t a ,   a r r a y ( ' m e t a _ v a l u e '   = >   $ r a t i n g ) ,   a r r a y ( ' c o m m e n t _ i d '   = >   $ p r e v i o u s _ r a t i n g _ i d ,   ' m e t a _ k e y '   = >   ' t u t o r _ r a t i n g ' )   ) ;                 } e l s e {                         $ w p d b - > i n s e r t (   $ w p d b - > c o m m e n t m e t a ,   a r r a y ( ' c o m m e n t _ i d '   = >   $ p r e v i o u s _ r a t i n g _ i d ,   ' m e t a _ k e y '   = >   ' t u t o r _ r a t i n g ' ,   ' m e t a _ v a l u e '   = >   $ r a t i n g )   ) ;                 }
通 过 在 检 查 评 论 是 否 存 在 时 g e t _ v a r ( ) 不 使 用 p r e p a r e ( ) ， 并 且 不 对 用 户 提 供 的 变 量 进 行 S Q L 清 理 ， 用 户 可 以 在 离 开 评 论 时 注 入 任 意 S Q L 语 句 。 需 要 使 用 基 于 盲 目 的 S Q L i 技 术 来 利 用 此 漏 洞 。 更 具 体 地 说 ， 用 户 为 c o u r s e _ i d 参 数 提 供 的 数 据 可 以 包 括 布 尔 语 句 ， 该 语 句 类 似 于 1 = 1 ， 始 终 为 t r u e   1 = 2 ， 始 终 为 f a l s e 。 如 果 响 应 指 示 评 论 已 更 新 ， 则 S Q L 查 询 的 答 案 为 t r u e 。 如 果 响 应 指 示 已 经 创 建 了 新 的 审 阅 ， 则 S Q L 查 询 的 答 案 将 为 f a l s e 。 这 些 任 意 的 S Q L 语 句 可 能 使 攻 击 者 能 够 从 数 据 库 中 检 索 信 息 ， 例 如 用 户 名 ， 密 码 或 其 他 敏 感 信 息 。 在 某 些 情 况 下 ， 如 果 M y S Q L 服 务 器 配 置 不 安 全 ， 则 攻 击 者 可 能 会 读 取 文 件 并 创 建 包 含 w e b s h e l l 的 新 文 件 以 及 修 改 数 据 库 中 的 信 息 。 也 可 以 使 用 基 于 时 间 的 方 法 来 利 用 此 漏 洞 。 T u t o r   L M S 的 另 一 个 功 能 是 ， 一 旦 学 生 提 交 了 答 案 ， 教 师 便 可 以 将 答 案 标 记 为 正 确 答 案 。 为 了 提 供 此 功 能 ， 该 插 件 注 册 了 在 更 新 数 据 库 以 将 答 案 标 记 为 正 确 之 前 ， 该 函 数 用 于 g e t _ r o w ( ) 检 索 记 录 在 数 据 库 中 的 初 始 答 案 ， 同 时 使 用 P O S T 参 数 中 用 户 提 供 的 值 a n s w e r _ i d 作 为 答 案 I D 。 不 幸 的 是 ， 没 有 对 用 户 提 供 的 值 进 行 S Q L 清 理 ， 该 函 数 也 没 有 使 用 预 准 备 的 语 句 ， 从 而 可 以 注 入 S Q L 查 询 。 由 于 此 查 询 先 于 其 他 两 个 查 询 而 发 生 ， 因 此 无 法 观 察 到 即 时 响 应 ， 并 且 实 际 上 需 要 使 用 基 于 时 间 的 S Q L 查 询 才 能 从 数 据 库 中 检 索 任 何 数 据 。 该 功 能 仅 供 教 师 和 管 理 员 使 用 ， 但 是 ， 由 于 它 是 A J A X 操 作 ， 没 有 进 行 随 机 数 保 护 或 功 能 检 查 ， 因 此 ， 这 意 味 着 包 括 学 生 在 内 的 任 何 经 过 身 份 验 证 的 用 户 都 可 以 执 行 此 操 作 并 利 用 S Q L 注 入 漏 洞 。 除 了 我 们 发 现 的 前 两 个 漏 洞 外 ， 我 们 还 发 现 了 三 个 基 于 U N I O N 的 S Q L 注 入 漏 洞 。 基 于 联 合 的 基 于 联 合 的 S Q L 注 入 ＃ 注 入 ＃ 1 T u t o r   L M S 允 许 教 师 在 分 析 学 生 的 回 答 时 检 索 给 定 问 题 的 一 组 答 案 。 为 了 提 供 此 功 能 ， 插 件 注 册 了 用 于 g e t _ r e s u l t s ( ) 从 数 据 库 获 取 答 案 的 函 数 。 同 样 ， 用 户 提 供 的 输 入 上 没 有 进 行 S Q L 清 理 ， 也 没 有 使 用 预 处 理 语 句 。 这 使 得 攻 击 者 有 可 能 在 q u e s t i o n _ i d 执 行 该 参 数 的 参 数 中 提 供 U N I O N 查 询 ， 并 在 对 请 求 的                 }         $ d a t a   =   a r r a y ( ' m s g '   = >   _ _ ( ' R a t i n g   p l a c e d   s u c c e s s ' ,   ' t u t o r ' ) ,   ' r e v i e w _ i d '   = >   $ r e v i e w _ I D ,   ' r e v i e w '   = >   $ r e v i e w ) ;         w p _ s e n d _ j s o n _ s u c c e s s ( $ d a t a ) ; } 说 明 ：   S Q L 注 入 [ 基 于 时 间 ] 受 影 响 的 插 件 ：   T u t o r   L M S 插 件 插 件 ：   t u t o r 受 影 响 的 版 本 ：   < =   1 . 7 . 6 C V E   I D ： 待 处 理 。 C V S S 得 分 ：   6 . 5 （ 中 ） C V S S 向 量 ：     C V S S ： 3 . 1   /   A V ： N   /   A C ： L   /   P R ： L   /   U I ： N   /   S ： U   /   C ： H   /   I ： N   /   A ： N 完 整 版 本 ：   1 . 7   . 7 w p _ a j a x _ t u t o r _ m a r k _ a n s w e r _ a s _ c o r r e c t 与 t u t o r _ m a r k _ a n s w e r _ a s _ c o r r e c t 功 能 绑 定 的 A J A X 动 作 。 p u b l i c   f u n c t i o n   t u t o r _ m a r k _ a n s w e r _ a s _ c o r r e c t ( ) {           g l o b a l   $ w p d b ;             $ a n s w e r _ i d   =   s a n i t i z e _ t e x t _ f i e l d ( $ _ P O S T [ ' a n s w e r _ i d ' ] ) ;           $ i n p u t V a l u e   =   s a n i t i z e _ t e x t _ f i e l d ( $ _ P O S T [ ' i n p u t V a l u e ' ] ) ;             $ a n s w e r   =   $ w p d b - > g e t _ r o w ( " S E L E C T   *   F R O M   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n _ a n s w e r s   W H E R E   a n s w e r _ i d   =   { $ a n s w e r _ i d }   L I M I T   0 , 1   ; " ) ;           i f   ( $ a n s w e r - > b e l o n g s _ q u e s t i o n _ t y p e   = = =   ' s i n g l e _ c h o i c e ' ) {                   $ w p d b - > u p d a t e ( $ w p d b - > p r e f i x . ' t u t o r _ q u i z _ q u e s t i o n _ a n s w e r s ' ,   a r r a y ( ' i s _ c o r r e c t '   = >   0 ) ,   a r r a y ( ' b e l o n g s _ q u e s t i o n _ i d '   = >   $ a n s w e r - > b e l o n g s _ q u e s t i o n _ i d ) ) ;           }           $ w p d b - > u p d a t e ( $ w p d b - > p r e f i x . ' t u t o r _ q u i z _ q u e s t i o n _ a n s w e r s ' ,   a r r a y ( ' i s _ c o r r e c t '   = >   $ i n p u t V a l u e ) ,   a r r a y ( ' a n s w e r _ i d '   = >   $ a n s w e r _ i d ) ) ;   } 说 明 ：   S Q L 注 入 [ U N I O N ] 受 影 响 的 插 件 ：   T u t o r   L M S 插 件 的 子 弹 ：   t u t o r 受 影 响 的 版 本 ：   < =   1 . 8 . 2 C V E   I D ： 待 处 理 。 C V S S 得 分 ：   6 . 5 （ 中 ） C V S S 向 量 ：   C V S S ： 3 . 1   /   A V ： N   /   A C ： L   /   P R ： L   /   U I ： N   /   S ： U   /   C ： H   /   I ： N   /   A ： N 完 整 版 本 ：   1 . 8   . 3 w p _ a j a x _ t u t o r _ q u i z _ b u i l d e r _ g e t _ a n s w e r s _ b y _ q u e s t i o n 与 t u t o r _ q u i z _ b u i l d e r _ g e t _ a n s w e r s _ b y _ q u e s t i o n 功 能 相 关 的 A J A X 操 作 。 p u b l i c   f u n c t i o n   t u t o r _ q u i z _ b u i l d e r _ g e t _ a n s w e r s _ b y _ q u e s t i o n ( ) { g l o b a l   $ w p d b ; $ q u e s t i o n _ i d   =   s a n i t i z e _ t e x t _ f i e l d ( $ _ P O S T [ ' q u e s t i o n _ i d ' ] ) ; $ q u e s t i o n _ t y p e   =   s a n i t i z e _ t e x t _ f i e l d ( $ _ P O S T [ ' q u e s t i o n _ t y p e ' ] ) ;   $ q u e s t i o n   =   $ w p d b - > g e t _ r o w ( " S E L E C T   *   F R O M   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n s   W H E R E   q u e s t i o n _ i d   =   { $ q u e s t i o n _ i d }   " ) ; $ a n s w e r s   =   $ w p d b - > g e t _ r e s u l t s ( " S E L E C T   *   F R O M   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n _ a n s w e r s   w h e r e   b e l o n g s _ q u e s t i o n _ i d   =   { $ q u e s t i o n _ i d }   A N D   b e l o n g s _ q u e s t i o n _ t y p e   =   ' { $ q u e s t i o n _ t y p e } '   o r d e r   b y   a n s w e r _ o r d e r   a s c   ; "   o b _ s t a r t ( ) ;   s w i t c h   ( $ q u e s t i o n _ t y p e ) {         c a s e   ' t r u e _ f a l s e ' :                 e c h o   ' < l a b e l > ' . _ _ ( ' A n s w e r   o p t i o n s   & a m p ;   m a r k   c o r r e c t ' ,   ' t u t o r ' ) . ' < / l a b e l > ' ;                 b r e a k ;         c a s e   ' o r d e r i n g ' :                 e c h o   ' < l a b e l > ' . _ _ ( ' M a k e   s u r e   y o u ’ r e   s a v i n g   t h e   a n s w e r s   i n   t h e   r i g h t   o r d e r .   S t u d e n t s   w i l l   h a v e   t o   m a t c h   t h i s   o r d e r   e x a c t l y . ' ,   ' t u t o r ' ) . ' < / l a b e l > ' ;                 b r e a k ; }
响 应 中 提 供 查 询 的 直 接 结 果 。 也 可 以 使 用 基 于 时 间 的 盲 目 S Q L i 技 术 来 利 用 此 功 能 。 基 于 联 合 的 基 于 联 合 的 S Q L 注 入 ＃ 注 入 ＃ 2 T u t o r   L M S 的 另 一 个 功 能 是 可 以 在 站 点 上 以 老 师 的 身 份 进 行 测 验 。 为 了 提 供 此 功 能 ， 该 插 件 注 册 了 各 种 A J A X 操 作 ， 以 简 化 测 验 构 建 过 程 ， 并 减 少 页 面 重 新 加 载 的 次 数 。 这 些 A J A X 动 作 之 一 是 该 A J A X 动 作 旨 在 在 测 验 构 建 器 中 编 辑 测 验 时 检 索 已 经 存 在 的 问 题 。 当 q u e s t i o n _ i d 被 提 供 的 参 数 ， 该 函 数 使 用 g e t _ r o w ( ) 从 数 据 库 中 获 取 回 答 数 据 。 用 户 提 供 的 输 入 上 没 有 S Q L 清 理 ， 也 没 有 使 用 准 备 好 的 语 句 。 这 使 得 攻 击 者 可 以 在 q u e s t i o n _ i d 参 数 中 提 供 U N I O N 查 询 ， 该 参 数 将 执 行 并 在 请 求 的 响 应 中 提 供 查 询 结 果 。 此 功 能 以 及 该 t u t o r _ q u i z _ b u i l d e r _ g e t _ a n s w e r s _ b y _ q u e s t i o n ( ) 功 能 仅 供 讲 师 和 管 理 员 使 用 。 但 是 ， 不 幸 的 是 ， 由 于 它 们 是 A J A X 操 作 ， 没 有 进 行 随 机 数 保 护 或 功 能 检 查 ， 因 此 ， 包 括 学 生 在 内 的 任 何 经 过 身 份 验 证 的 用 户 都 可 以 执 行 此 操 作 并 利 用 S Q L 注 入 漏 洞 。 基 于 联 合 的 基 于 联 合 的 S Q L 注 入 ＃ 注 入 ＃ 3 我 们 发 现 的 最 后 一 个 S Q L 注 入 漏 洞 更 为 独 特 。 如 前 所 述 ， T M S   L M S 允 许 课 程 讲 师 为 学 生 创 建 测 验 。 每 当 学 生 进 行 测 验 时 ， 插 件 都 会 将 该 尝 试 的 结 果 记 录 在 数 据 库 中 ， 并 且 还 使 学 生 以 后 可 以 重 新 访 问 这 些 结 果 。 为 了 提 供 此 功 能 ， 该 插 件 创 建 了 一 个 函 数 g e t _ a n s w e r _ b y _ i d ， 当 用 户 访 问 测 验 尝 试 详 细 信 息 时 ， 该 函 数 将 检 索 测 验 的 结 果 。 在 检 索 这 些 结 果 时 ， 该 函 数 用 于 g e t _ r e s u l t s ( ) 从 数 据 库 检 索 结 果 。 由 于 记 录 了 测 验 答 案 时 没 有 S Q L 转 义 ， 因 此 可 以 将 S Q L 语 句 作 为 测 验 响 应 包 含 在 内 。 一 旦 访 问 尝 试 详 细 信 息 页 面 从 数 据 库 中 检 索 到 数 据 ， 存 储 的 S Q L 语 句 将 执 行 并 提 供 数 据 库 中 所 请 求 的 信 息 。 未 受 保 护 的 未 受 保 护 的 A J A X 端 点 端 点 除 了 几 个 S Q L   I n j e c t i o n 漏 洞 之 外 ， 我 们 还 发 现 了 许 多 未 受 保 护 的 A J A X 端 点 ， 这 些 端 点 可 能 允 许 像 学 生 这 样 的 低 级 用 户 执 行 大 量 操 作 ， 使 他 们 可 以 创 建 新 测 验 ， 修 改 课 程 信 息 ， 更 改 等 级 ， 提 升 特 权 等 。 。 以 下 特 权 升 级 是 我 们 发 现 的 最 重 要 的 端 点 。 w p _ a j a x _ t u t o r _ q u i z _ b u i l d e r _ g e t _ q u e s t i o n _ f o r m 它 已 关 联 到 该 t u t o r _ q u i z _ b u i l d e r _ g e t _ q u e s t i o n _ f o r m   函 数 p u b l i c   f u n c t i o n   t u t o r _ q u i z _ b u i l d e r _ g e t _ q u e s t i o n _ f o r m ( ) {         g l o b a l   $ w p d b ;         $ q u i z _ i d   =   s a n i t i z e _ t e x t _ f i e l d ( $ _ P O S T [ ' q u i z _ i d ' ] ) ;         $ q u e s t i o n _ i d   =   s a n i t i z e _ t e x t _ f i e l d ( t u t o r _ u t i l s ( ) - > a v a l u e _ d o t ( ' q u e s t i o n _ i d ' ,   $ _ P O S T ) ) ;           i f   (   !   $ q u e s t i o n _ i d ) {                 $ n e x t _ q u e s t i o n _ i d   =   t u t o r _ u t i l s ( ) - > q u i z _ n e x t _ q u e s t i o n _ i d ( ) ;                 $ n e x t _ q u e s t i o n _ o r d e r   =   t u t o r _ u t i l s ( ) - > q u i z _ n e x t _ q u e s t i o n _ o r d e r _ i d ( $ q u i z _ i d ) ;                   $ n e w _ q u e s t i o n _ d a t a   =   a r r a y (                         ' q u i z _ i d '                               = >   $ q u i z _ i d ,                         ' q u e s t i o n _ t i t l e '                 = >   _ _ ( ' Q u e s t i o n ' ,   ' t u t o r ' ) . '   ' . $ n e x t _ q u e s t i o n _ i d ,                         ' q u e s t i o n _ d e s c r i p t i o n '     = >   ' ' ,                         ' q u e s t i o n _ t y p e '                   = >   ' t r u e _ f a l s e ' ,                         ' q u e s t i o n _ m a r k '                   = >   1 ,                         ' q u e s t i o n _ s e t t i n g s '           = >   m a y b e _ s e r i a l i z e ( a r r a y ( ) ) ,                         ' q u e s t i o n _ o r d e r '                 = >   $ n e x t _ q u e s t i o n _ o r d e r ,                 ) ;                   $ w p d b - > i n s e r t ( $ w p d b - > p r e f i x . ' t u t o r _ q u i z _ q u e s t i o n s ' ,   $ n e w _ q u e s t i o n _ d a t a ) ;                 $ q u e s t i o n _ i d   =   $ w p d b - > i n s e r t _ i d ;         }           $ q u e s t i o n   =   $ w p d b - > g e t _ r o w ( " S E L E C T   *   F R O M   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n s   w h e r e   q u e s t i o n _ i d   =   { $ q u e s t i o n _ i d }   " ) ;           o b _ s t a r t ( ) ;         i n c l u d e     t u t o r ( ) - > p a t h . ' v i e w s / m o d a l / q u e s t i o n _ f o r m . p h p ' ;         $ o u t p u t   =   o b _ g e t _ c l e a n ( ) ;           w p _ s e n d _ j s o n _ s u c c e s s ( a r r a y ( ' o u t p u t '   = >   $ o u t p u t ) ) ; } p u b l i c   f u n c t i o n   g e t _ a n s w e r _ b y _ i d ( $ a n s w e r _ i d ) {                 g l o b a l   $ w p d b ;                   i f   ( i s _ a r r a y ( $ a n s w e r _ i d ) ) {                         $ i n _ i d s   =   i m p l o d e ( " , " ,   $ a n s w e r _ i d ) ;                         $ s q l   =   " a n s w e r . a n s w e r _ i d   I N ( { $ i n _ i d s } ) " ;                 } e l s e {                         $ s q l   =   " a n s w e r . a n s w e r _ i d   =   { $ a n s w e r _ i d } " ;                 }                   $ a n s w e r   =   $ w p d b - > g e t _ r e s u l t s ( " S E L E C T   a n s w e r . * ,   q u e s t i o n . q u e s t i o n _ t i t l e ,   q u e s t i o n . q u e s t i o n _ t y p e                 F R O M   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n _ a n s w e r s   a n s w e r                 L E F T   J O I N   { $ w p d b - > p r e f i x } t u t o r _ q u i z _ q u e s t i o n s   q u e s t i o n   O N   a n s w e r . b e l o n g s _ q u e s t i o n _ i d   =   q u e s t i o n . q u e s t i o n _ i d                 W H E R E   1 = 1   A N D   { $ s q l }   " ) ;                   r e t u r n   $ a n s w e r ; 说 明 ： 特 权 升 级 的 不 受 保 护 的 A J A X 操 作 受 影 响 的 插 件 ：   T u t o r   L M S 插 件 的 子 弹 ：   t u t o r 受 影 响 的 版 本 ：   < =   1 . 7 . 6 C V E   I D ： 待 处 理 。 C V S S 得 分 ：   8 . 1 （ 高 ） C V S S 向 量 ： C V S S ： 3 . 1   /   A V ： N   /   A C ： L   /   P R ： L   /   U I ： N   /   S ： U   /   C ： H   /   I ： H   /   A ： N
激 活 插 件 后 ， T u t o r   L M S 将 创 建 两 个 新 角 色 ： “ 学 生 ” 角 色 和 “ 教 师 ” 角 色 。 学 生 角 色 是 为 想 要 注 册 课 程 的 用 户 而 设 计 的 ， 而 讲 师 角 色 是 为 想 要 成 为 老 师 并 在 网 站 上 托 管 课 程 内 容 的 用 户 而 设 计 的 。 该 插 件 提 供 的 两 个 功 能 是 允 许 学 生 要 求 成 为 老 师 的 功 能 以 及 管 理 员 可 以 在 给 定 站 点 上 直 接 创 建 新 教 师 的 功 能 。 不 幸 的 是 ， 这 两 个 功 能 都 没 有 安 全 地 实 现 。 为 了 请 求 成 为 T u t o r   L M S ， 用 户 将 需 要 提 交 一 个 请 求 ， 该 请 求 将 通 知 发 送 给 站 点 管 理 员 以 供 批 准 。 一 旦 获 得 批 准 ， 便 会 向 用 户 授 予 讲 师 特 权 ， 并 能 够 执 行 所 有 讲 师 动 作 。 不 幸 的 是 ， 由 于 缺 乏 能 力 检 查 ， 批 准 过 程 很 脆 弱 ， 经 过 身 份 验 证 的 学 生 可 以 绕 开 批 准 过 程 来 批 准 自 己 成 为 教 师 。 此 外 ， 管 理 员 可 以 选 择 在 标 准 W o r d P r e s s 新 用 户 功 能 之 外 添 加 新 教 师 。 不 幸 的 是 ， 没 有 对 此 A J A X 操 作 进 行 功 能 检 查 ， 因 此 任 何 经 过 身 份 验 证 的 用 户 都 可 以 添 加 新 的 教 师 帐 户 ， 然 后 使 用 该 帐 户 在 网 站 上 创 建 潜 在 的 恶 意 内 容 。 这 两 个 漏 洞 确 实 都 要 求 用 户 能 够 从 / w p - a d m i n 仪 表 板 获 得 随 机 数 。 披 露 时 间 表 披 露 时 间 表 2 0 2 0 年 1 2 月 1 5 日 – 插 件 分 析 的 结 论 ， 导 致 在 T u t o r   L M S 中 发 现 了 几 个 漏 洞 。 我 们 开 发 防 火 墙 规 则 以 保 护 W o r d f e n c e 客 户 并 将 其 发 布 给 W o r d f e n c e   P r e m i u m 用 户 。 我 们 开 始 与 T u t o r   L M S 联 系 。 2 0 2 0 年 1 2 月 2 1 日 – 我 们 收 到 回 复 ， 确 认 适 当 的 收 件 箱 可 用 于 处 理 讨 论 。 2 0 2 0 年 1 2 月 2 1 日 – 我 们 提 供 完 整 的 披 露 详 细 信 息 。 2 0 2 0 年 1 2 月 2 2 日 –   L M S 老 师 确 认 收 到 了 我 们 的 披 露 ， 并 开 始 进 行 修 复 。 2 0 2 0 年 1 2 月 3 0 日 – 发 布 了 初 始 补 丁 。 2 0 2 1 年 1 月 4 日 – 我 们 分 析 了 最 初 的 补 丁 程 序 ， 并 确 定 需 要 进 一 步 的 补 丁 程 序 。 2 0 2 1 年 1 月 1 4 日 – 免 费 的 W o r d f e n c e 用 户 会 收 到 防 火 墙 规 则 。 2 0 2 1 年 1 月 1 5 日 – 我 们 会 进 行 后 续 检 查 ， 以 检 查 补 丁 的 状 态 。 2 0 2 1 年 1 月 1 5 日 至 2 0 2 1 年 2 月 1 6 日 – 我 们 将 继 续 讨 论 ， 以 确 保 已 修 补 所 有 漏 洞 ， 并 已 采 取 措 施 来 加 强 插 件 的 安 全 性 。 在 此 期 间 发 布 了 几 个 补 丁 。 2 0 2 1 年 2 月 1 6 日 –   T u t o r   L M S 的 最 终 版 本 和 完 整 补 丁 版 本 为 1 . 8 . 3 。 2 0 2 1 年 2 月 2 5 日 – 我 们 发 现 绕 过 了 原 始 S Q L 注 入 保 护 ， 并 开 发 了 新 的 防 火 墙 规 则 以 提 供 额 外 的 保 护 。 我 们 向 W o r d f e n c e 高 级 用 户 发 布 了 新 规 则 。 2 0 2 1 年 3 月 2 7 日 – 免 费 的 W o r d f e n c e 用 户 将 收 到 其 他 防 火 墙 规 则 。 结 论 结 论 在 今 天 的 帖 子 中 ， 我 们 详 细 介 绍 了 T u t o r   L M S 中 的 几 个 缺 陷 ， 这 些 缺 陷 使 攻 击 者 能 够 检 索 或 修 改 数 据 库 中 的 任 意 数 据 并 提 升 特 权 。 这 些 漏 洞 已 在 1 . 8 . 3 版 中 完 全 修 复 。 我 们 建 议 用 户 立 即 更 新 到 可 用 的 最 新 版 本 ， 即 本 出 版 物 发 行 时 的 版 本 1 . 8 . 5 。 W o r d f e n c e   P r e m i u m 用 户 在 2 0 2 0 年 1 2 月 1 5 日 和 2 0 2 1 年 2 月 2 5 日 收 到 了 防 御 这 些 漏 洞 的 防 火 墙 规 则 ， 而 仍 在 使 用 免 费 版 本 W o r d f e n c e 的 用 户 则 在 2 0 2 0 年 1 月 1 4 日 获 得 了 初 始 保 护 ， 并 将 在 2 0 2 1 年 3 月 2 7 日 获 得 额 外 的 保 护 。 。 如 果 您 认 识 在 其 网 站 上 使 用 此 插 件 的 朋 友 或 同 事 ， 我 们 强 烈 建 议 将 此 建 议 转 发 给 他 们 ， 以 帮 助 保 护 他 们 的 网 站 ， 因 为 此 插 件 中 修 补 了 多 个 严 重 漏 洞 。 参 考 ： 参 考 ： h t t p s : / / w w w . a c u n e t i x . c o m / v u l n e r a b i l i t i e s / w e b / w o r d p r e s s - p l u g i n - t u t o r - l m s - e l e a r n i n g - a n d - o n l i n e - c o u r s e - s o l u t i o n - c r o s s - s i t e - r e q u e s t - f o r g e r y - 1 - 5 - 2 / h t t p s : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 2 0 - 8 6 1 5 阅 读 原 文 C V S S 向 量 ： C V S S ： 3 . 1   /   A V ： N   /   A C ： L   /   P R ： L   /   U I ： N   /   S ： U   /   C ： H   /   I ： H   /   A ： N 完 整 版 本 ：   1 . 7   . 7
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理