CVE-2018-6389 PoC node js multisite with proxy

يعتمد هذا السكربت على CVE-2018-6389، وهي مشكلة خبيثة جدًا في Wordpress، والتي للأسف على الأرجح لن يتم إصلاحها من قبل الفريق الذي يطور المنصة، على الرغم من أنها معروفة منذ وقت طويل.

!!! هام قبل أن تستمر !!! كل المستودع والمعلومات المشتركة هنا متاحة بحرية للاستخدام بأي شكل - نسخ، ترقية، تعديل بهدف التطوير أو أهداف أخرى، وكذلك المشاركة. استخدام المعلومات المشتركة لأغراض غير تعليمية، بغرض التجربة و/أو حماية منصتك الخاصة المبنية على Wordpress، قد يتعارض على الأرجح مع عدد من القوانين التي لست على دراية بها. لا تستخدم السكربت لمهاجمة المواقع! أنا لست مسؤولًا عن أفعالك. باستخدامك له فأنت توافق على هذه الشروط. هجوم DDoS (رفض الخدمة) الموجّه إلى موقع ليس ملكك قد يُعتبر هجومًا إرهابيًا. !!! تأكد من أنك واثق تمامًا من أفعالك وفكر جيدًا قبل أن تستمر !!!

كتبت هذا السكربت منذ فترة طويلة، ولكن لأنني أعرف أنكم رائعون جدًا، قررت أن أشاركه معكم. استخدموه للغرض المخصص له! حقًا...

ما الموضوع

يوجد على الإنترنت الكثير من المعلومات حول الموضوع، بالإضافة إلى عدة سكربتات جاهزة، مكتوبة غالبًا بلغة بايثون مثل Shiva وهذا، وقد استقيت منها الكثير من الإلهام عندما كتبته، وبإمكانك أيضًا اختبار هذا "الضعف" في بيئة معزولة، ولكن بما أنني من "محبي المتعة"، قررت أن أضيف بضع "مزايا".

هنا يمكنك قراءة مدونة مثيرة للاهتمام حول الموضوع

باختصار، إذا قمت بتحميل https://your-wordpress-site.com/wp-admin/load-scripts.php?c=1&load=editor,common,user-profile,media-widgets,media-gallery (مع تغيير الرابط بالطبع ليشير إلى نسختك الخاصة) وكان ما يظهر على الشاشة هو "بعض كود JS يا أخي"، فالمشكلة في الموقع. كل معلمة مذكورة في سلسلة الاستعلام هي اسم ملف غير موجود في الكاش. أي أنه يُجري عملية إدخال/إخراج لكل ملف من القرص، يجمعها في ملف واحد ويعيده إلى العميل. لكن الملفات كثيرة جدًا. أكثر بكثير من الموارد المطلوبة لطلبها عدة مرات. لنقل أن جهاز لابتوب واحد ورابط تحميل بسرعة حوالي 50 ميغابت/ثانية، و30 موقعًا على استضافة متوسطة الجودة قد تصمد 20-30 ثانية قبل أن تموت تمامًا.

متطلبات أخرى

• NodeJS 8.11.2
• مثيل/مثيلات Wordpress عاملة.
• يجب إجراء فحص بسيط جدًا للبروكسيات منفردة، على جهاز يمكن الوصول إليه من الإنترنت. طلب GET يُرجِع عنوان IP الذي يرى منه خادمك الطلب كنص. ليست كل خوادم البروكسي "مجهولة"! هذا الإجراء أيضًا يتحقق من أن البروكسي يعمل قبل بدء الهجوم نفسه.

البنية:

• ملف websites.js يحتوي على قائمة بالمواقع - "الضحايا"، وقد نسيت عن غير قصد أن أزيل بعض المواقع المتبقية التي أعرف على وجه اليقين أنها قابلة للتأثر عند التعامل مع السكربت. أقسم أنني لم أجربه أبدًا، هذا مجرد ظن مني.

• ملف userAgents.js يحتوي على قائمة بوكلاء المستخدم (user-agents) الذين يتم اختيارهم عشوائيًا عند كل طلب منفصل إلى الضحايا.

• fileList.js يحتوي على قائمة بالملفات الفردية التي يجب تحميلها من "الضحية"، بحيث يمكن إضافة الملفات وتصحيحها بسهولة عند تحديث Wordpres.

• في index.js يوجد السكربت الفعلي للتشغيل.

المعاملات

• countries هو مصفوفة من الدول التي سيتم البحث فيها عن بروكسيات. (من أي الدول ستأتي الهجمات، عبر البروكسيات)
• wanCheckUrl هو العنوان الكامل الذي يستعلم منه السكربت و"يفحص" ما إذا كان الاتصال عبر بروكسي شفاف.
• requestTimeout هو الوقت بالمللي ثانية الذي يُعتبر بعده البروكسي معطلًا إذا لم يتمكن من الاتصال.
• maxRequests هو حد الطلبات من جهازك إلى "الضحايا". الرقم الكبير جدًا قد يثقل جهازك أيضًا. حوالي 30 طلبًا متوازيًا كافية لموقع واحد على استضافة متوسطة المستوى.

الإجراء:

• يستعلم السكربت عن فحص البروكسي التلقائي ويسجل عنوان IP الذي يظهر به في الفضاء العام.
• يبدأ بالبحث عن بروكسيات مجانية من قوائم عامة متنوعة.
• عند ظهور كل بروكسي، يتم إرسال طلب إلى فحص البروكسي التلقائي، وإذا كان العنوان الذي استجاب به الخدمة مختلفًا عن المرة الأولى، يسجَّل البروكسي في مصفوفة ويبدأ تنفيذ الهجوم.
• بشكل تقريبي، يدير السكربت الضحايا عبر كل بروكسي وفق مبدأ round-robin، ولا يوجد شيء خاص في المنطق، فهو يرسل أكبر عدد ممكن من الطلبات عبر أكبر عدد ممكن من البروكسيات المختلفة والعاملة.

في الطرفية، يتم عرض معلومات ملونة لكل "ضحية" على حدة، وتلك التي تتعرض لـ DDoS يتم تلوينها باللون الأحمر.

npm install
//редактирай webstites.js
node index.js

Google Dork للبحث عن "الضحايا"

inurl: “wp-admin/load-scripts.php”

قررت أن أهدي هذا السكربت إلى قناتي التلفزيونية المفضلة tvsz، لأنني أعلم أنهم من أشد "المعجبين" بي، والأهم لأنهم سيجدون رابط موقعهم في قائمتي. يعني سأرفع تقييمهم قليلًا، لأرد لهم معروفًا قديمًا. كما أغتنم الفرصة لأحيي والدي، الذي كان أمس يوم اسمه، لكن لم يتبقَّ لي وقت لأتصل به.