取消
普通评论
普通评论

通过Post Types进行WordPress提权

嘶吼RoarTalk2018-12-28 10:02
WordPress提权
信息安全 收藏

  研究人员发现WordPress创建博客的方式存在逻辑漏洞,攻击者利用该漏洞可以访问只有管理员才可以访问的特征。这会导致WordPress内核产生存储型XSS和对象注入等漏洞。

  影响

  WordPress是博客软件的核心,允许用户创建和发布博客。随着时间的推移,产生了不同的post类型,比如页面和图像、视频等。插件可以注册新的post类型,比如产品和联系人表单。根据插件注册的post type的类型,可以提供不同的特征。比如通讯录form插件可能允许用户用文件上传域来常见一个联系人form。创建联系人form的用户可以定义允许上传的文件类型。恶意用户可以允许上传php文件,然后在站点上执行任意代码。但这并不是一个问题,因为插件可以限制对post类型的访问。下面要讲的权限提升就允许低权限用户绕过wordpress应用的安全检查,并创建任意类型的post,误用定制的post类型的特征。最终导致WordPress core产生存储型XSS和对象注入漏洞。根据安装的插件,还有更严重的漏洞可以利用。

  技术背景

  为注册新的post类型,插件必须要用新的post类型和一些meta信息来调用register_post_type()。

通过Post Types进行WordPress提权

  为什么定制的post类型是安全的?

  每个post类型都有自己的编辑页面,比如 example.com/wordpress/wp-admin/?page=example_post_type_editor

通过Post Types进行WordPress提权

图1: post type为联系人表单,只有管理员可以访问该页面

  如果插件开发者决定只有管理员可以使用插件的post类型,那么就可以检查如果用户是不是管理员,然后执行。

通过Post Types进行WordPress提权

  WordPress post提交

  虽然所有注册的post类型都有自己的编辑页,但是都可以用WordPress post提交API,用WordPress函数wp_write_post()插入和更新post。该函数的输入类型为$_POST[‘post_type’], $_POST[‘post_title’], $_POST[‘post_content’],因此知道如何处理post。

  在WordPress post提交过程中,WordPress必须首先了解用户想要编辑已有的post还是创建一个新的post。因此WordPress要检查用户是否发送过该post的ID。WordPress允许$_GET[‘post’]或$_POST[‘post_ID’]。如果ID存在,用户就可以用已有的ID去编辑post;如果ID不存在,就是要创建新的post。

通过Post Types进行WordPress提权

  然后WordPress要确定用户在创建那种post类型。如果post ID已经发送了,WordPress就会从wp_posts table中的数据库中取出post_type列。如果用户想要创建新的post,目标post类型应该是 $_POST[‘post_type’]。

通过Post Types进行WordPress提权

  WordPress在知道了用户要创建或编辑的post的post类型后,会检查用户是否有权限使用该post类型。这一过程是通过一个只能从编辑页获得的随机数来确认的。用随机数来确认的代码如下:

通过Post Types进行WordPress提权

  如果$post_type 是post,$nonce_name就是add-post。如果$post_type是example_post_type, $nonce_name就是add-example_post_type。随机数只能由可以创建这些post类型的用户获取,因为只有这些用户可以访问该post类型的编辑页,这也是唯一严重获得随机数的方法。

  WordPress的失败

  虽然低权限的攻击者不能访问该页面和示例post类型的随机数,但攻击者仍然可以获取正常post的随机数。也就是说攻击者可以讲post ID设置为有post type post的post,这样就可以绕过随机数验证。

通过Post Types进行WordPress提权

  但是该方法只能更新已有的post,无法覆写新的post的post_type。如果post ID已经存在了,WordPress就会在更新post之前从参数中移除post_type。

  但WordPress只会移除设置了$_POST[‘post_ID’]的$post_type参数。攻击者就可以通过 $_POST[‘post_ID’]或$_GET[‘post’]发送一个post ID。如果攻击者通过$_GET[‘post’]发送了post ID:

  1、WordPress就会看到一个设置了的post ID,然后从数据库中拿出其post type。

  2、WordPress会检查攻击者是否为该post type发送了有效的随机数。

  3、通过随机数检查后,WordPress会决定应该调用wp_update_post()还是wp_insert_post()。这一过程是通过设置$_POST[‘post_ID’]实现的。如果设置了,就调用wp_update_post并移除$post_type参数,这样攻击者就不能覆写post type了。如果没有设置,WordPress就调用wp_insert_post(),并用$_POST[‘post_type’]作为新post的post type。

  因为WordPress没有检查第3步的$_GET[‘post’],攻击者可以绕过随机数验证,并且创建一个任意post type的新post。

通过Post Types进行WordPress提权

通过Post Types进行WordPress提权

  利用:通过Contact Forms 7读取wp-config.php

  因此,低权限的用户也可以滥用该bug来创建任意类型的post,对网站的影响依赖于安装的插件以及安装的插件提供的post type的特征。

  比如,攻击者可以以contributor的角色滥用WordPress主流插件Contact Form 7的特征来读取目标网站wp-config.php文件的内容。该文件中含有数据库凭证和加密密钥。

  在Contact Forms 7 v5.0.3以上版本中,可以设置本地文件附件。管理员创建了联系人表单。并讲用户输入的所有数据都发送给管理员。

  也就是说攻击者简单创建一个新的联系人表单,设置本地文件附件到../wp-config.php,设置邮箱到数据要发送的邮箱,提交表单、然后读取重要WordPress文件的内容。

  补丁

通过Post Types进行WordPress提权

  XMLRPC和REST API

  因此可以通过WordPress的XMLRPC和REST API创建post,这并不会执行特定post type的随机数验证。但是通过这些API创建post,但是不能设置任意的post meta field。插件中的大多数漏洞都是可以通过设置post meta域进行利用的。

  总结

  攻击者可以以低权限的用户角色来创建本来没有权限访问的post type的post。攻击者因此可以访问本来只有管理员才可以访问的特征。研究人员在WordPress最流行的5个插件中供发现了2个漏洞。研究人员估计有上千个插件存在漏洞。而且WordPress的内部post type还被发现有存储型XSS和对象注入漏洞,存储型XSS可以通过点击劫持攻击触发,一旦JS执行后,整个网站都会被接管。

责任编辑:韩希宇

点击加载

点击加载

发送
普通评论
发送
普通评论
普通评论

为你推荐

暂无相关推荐