CVE-2025-4396 - مجموعة أدوات حقن SQL الأعمى القائم على الوقت لإضافة Relevanssi في ووردبريس

نظرة عامة

يحتوي هذا المستودع على مجموعة أدوات عملية للبحث والتحقق من صحة CVE-2025-4396، وهي ثغرة حقن SQL أعمى قائم على الوقت غير مصادق عليها تؤثر على إضافة Relevanssi في ووردبريس من خلال وسيط cats.

تم بناء المشروع لمشاركات فريق الأرجواني المصرح بها بهدف:

• التحقق من قابلية الاستغلال بطريقة محكومة،
• عرض مستويات مختلفة من حرفية المهاجم،
• قياس تغطية اكتشاف مركز العمليات الأمنية (SOC)،
• استخراج تجزئة كلمة مرور ووردبريس بطريقة واقعية،
• وأتمتة سير عمل الكسر غير المتصل بعد استرداد التجزئة.

يتضمن المستودع:

• نص برمجي للاستخراج القياسي،
• نص برمجي للاستخراج بالبحث الثنائي الأسرع،
• ونص برمجي مساعد لـ تحضير وكسر تجزئة ووردبريس 6.8+ المستخرجة باستخدام Hashcat.

إخلاء مسؤولية
يُقدَّم هذا المشروع للأغراض التعليمية والتحقق الدفاعي والاختبارات الأمنية المصرح بها فقط.
لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها.

بيئة الاختبار

• الخادم: دبيان 11
• ووردبريس 6.9.1،
• إضافة Relevanssi 4.24.4 (تم تنزيلها من https://wordpress.org/plugins/relevanssi/advanced/)،
• تم استخدام إثبات المفهوم (PoC) من نظام كالي لينكس.

---

وصف CVE

CVE-2025-4396 هي ثغرة حقن SQL تؤثر على وظيفة البحث في إضافة Relevanssi في ووردبريس.

في السيناريو المختبر، يمكن الوصول إلى المشكلة من خلال سير عمل البحث، وبشكل أكثر تحديدًا من خلال وسيط cats. يسمح مسار الشيفرة الضعيفة بإدخال المهاجم بالتأثير على استعلام SQL الذي يولده الإضافة.

نظرًا لأن نقطة النهاية الضعيفة قابلة للوصول دون مصادقة مسبقة، يمكن لمهاجم عن بُعد استغلال الثغرة لإجراء حقن SQL غير مصادق عليه.

يتضمن التأثير العملي:

• التلاعب باستعلامات قاعدة البيانات،
• حقن SQL أعمى قائم على الوقت،
• استخراج بيانات حساسة مثل تجزئات كلمات المرور،
• واعتمادًا على البيئة، إمكانية رفع الصلاحيات من خلال استرداد بيانات اعتماد صالحة.

---

كيف تعمل الثغرة

السبب الجذري

توجد الثغرة لأن المدخلات التي يتحكم بها المستخدم من وسيط متعلق بالبحث لا تتم معالجتها بأمان قبل تضمينها في استعلام SQL.

عمليًا، هذا يعني أن المهاجم يمكنه حقن تعبيرات SQL في منطق استعلام النهاية الخلفية وإجبار قاعدة البيانات على تقييم شروط إضافية.

لماذا هي عمياء

تُستغل الثغرة في وضع أعمى، مما يعني أن التطبيق لا يعرض أخطاء SQL أو نتائج قاعدة البيانات الخام مباشرة.

بدلاً من قراءة مخرجات الاستعلام من الصفحة، يطرح المهاجم على قاعدة البيانات سلسلة من الأسئلة بنعم/لا ويلاحظ أحد الآثار الجانبية:

• إذا كان الشرط صحيحًا، تنام قاعدة البيانات لبضع ثوانٍ،
• إذا كان الشرط خاطئًا، يعود الرد فورًا.

لماذا هي قائمة على الوقت

يعتمد الاستغلال على دوال SQL مثل SLEEP() لإنشاء فرق قابل للقياس في وقت استجابة الخادم.

هذا يسمح للمهاجم باستنتاج البيانات دون رؤيتها مباشرة.

على سبيل المثال، يمكن للمهاجم طرح أسئلة مثل:

• "هل الحرف الأول يساوي $؟"
• "هل قيمة ASCII للحرف الثاني أكبر من 77؟"
• "هل الأحرف N الأولى تطابق هذا النمط؟"

من خلال تكرار هذه العملية، يمكن للمهاجم إعادة بناء تجزئة كاملة حرفًا حرفًا.

---

كيف يعمل الاستغلال

منطق الاستخراج القياسي

يقوم النهج القياسي بالتكرار عبر مجموعة أحرف معروفة واختبار كل مرشح واحدًا تلو الآخر.

لكل موضع في التجزئة المستهدفة:

1. بناء شرط SQL يستهدف حرفًا واحدًا.
2. إحداث تأخير في الخادم فقط إذا كان التخمين صحيحًا.
3. قياس وقت الاستجابة.
4. إعادة إرسال نفس الطلب لتقليل النتائج الإيجابية الكاذبة الناجمة عن تذبذب الشبكة.
5. إلحاق الحرف المؤكد بالتجزئة المستخرجة.
6. الانتقال إلى الموضع التالي.

هذه الطريقة بسيطة وموثوقة، ولكنها بطيئة نسبيًا لأنها قد تتطلب العديد من الطلبات لكل حرف.

منطق الاستخراج بالبحث الثنائي

يستخدم النهج الأسرع البحث الثنائي على قيمة ASCII لكل حرف.

بدلاً من السؤال:

• "هل الحرف يساوي a؟"
• "هل الحرف يساوي b؟"
• "هل الحرف يساوي c؟"

يسأل:

• "هل قيمة ASCII أكبر من 79؟"
• "هل هي أكبر من 55؟"
• "هل هي أكبر من 43؟"

هذا يقسم مساحة البحث إلى نصفين مع كل طلب ويقلل عدد طلبات HTTP بشكل كبير.

النتيجة العملية

يسمح الهجوم للمشغل باستخراج قيمة user_pass من جدول wp_users، عادةً لمعرف مستخدم ووردبريس محدد مثل:

• 1 للمسؤول الافتراضي،
• أو معرف آخر يتم تمريره عبر سطر الأوامر.

في إصدارات ووردبريس الحديثة، قد تستخدم هذه القيمة خط أنابيب كلمات المرور الجديد لووردبريس 6.8+، والذي يجمع بين:

• مرحلة ما قبل التجزئة باستخدام HMAC-SHA384،
• ترميز Base64،
• وتجزئة bcrypt نهائية.

---

النصوص البرمجية المضمنة

1. CVE_2025_4396.py

هذا هو النص البرمجي للاستخراج القياسي.

الغرض:

يقوم بحقن SQL أعمى قائم على الوقت كلاسيكي ويستخرج التجزئة المستهدفة حرفًا حرفًا باستخدام بحث خطي عبر مجموعة أحرف ثابتة.

الخصائص الرئيسية:

• بسيط وسهل الفهم،
• موثوق في البيئات المستقرة،
• منطق تحقق مزدوج لتقليل النتائج الإيجابية الكاذبة،
• مفيد كخط أساس لهندسة الكشف وعروض إثبات المفهوم (PoC).

كيف يعمل:

لكل موضع حرف:

• يتكرر عبر مجموعة أحرف محددة مسبقًا،
• يبني شرط SQL يطابق حرفًا واحدًا،
• ينتظر استجابة الخادم،
• ويؤكد الإصابة بطلب ثانٍ.

المتطلبات:

• python3
• requests
• urllib3

التثبيت:

pip3 install requests urllib3

الاستخدام:

python3 CVE_2025_4396.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

الوسائط:
    -t, --target : عنوان URL المستهدف الضعيف بما في ذلك الوسيط القابل للحقن
    -u, --userid : معرف مستخدم ووردبريس المستهدف
    -s, --sleep : حد النوم بالثواني
    -v, --verbose : تفعيل تسجيل التصحيح

2. CVE_2025_4396_Stealth.py

هذه هي نسخة البحث الثنائي.

الغرض:

تقوم بنفس هدف الاستخراج مثل النص البرمجي القياسي، ولكنها تستبدل البحث الخطي حرفًا بحرف ببحث ثنائي على قيم ASCII.

الخصائص الرئيسية:

• عدد أقل بكثير من طلبات HTTP،
• بصمة شبكة أصغر،
• لا يزال يتضمن خطوة تحقق مزدوج لمنع النتائج الإيجابية الكاذبة.

كيف يعمل:

لكل موضع:

• تحديد نطاق ASCII قابل للطباعة.
• اختبار نقطة المنتصف.
• السؤال عما إذا كان الحرف المستهدف أكبر من تلك النقطة.
• تقليص النطاق وفقًا لذلك.
• الاستمرار حتى يتم تحديد الحرف الدقيق.

المتطلبات:

• python3
• requests
• urllib3

التثبيت:

pip3 install requests urllib3

الاستخدام:

python3 CVE_2025_4396_Stealth.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

متى تستخدمه:

• تم تأكيد أن الهدف ضعيف،
• زمن الوصول مستقر بما فيه الكفاية،
• والهدف هو تقليل حجم الطلبات.

---

سير عمل كسر التجزئة غير المتصل

بمجرد استخراج تجزئة كلمة المرور من ووردبريس، الخطوة التالية هي كسرها دون اتصال.

ملاحظات حول تجزئة ووردبريس 6.8+. في سير العمل المختبر، قد تبدو القيمة المستخرجة كما يلي:

$wp$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

بالنسبة لـ Hashcat، الجزء القابل للاستخدام من bcrypt هو:

$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

ومع ذلك، لا يتم تطبيق bcrypt هذا مباشرة على كلمة المرور الخام. يقوم ووردبريس أولاً بتطبيق مرحلة معالجة مسبقة:

• اقتطاع على نمط PHP لكلمة المرور المرشحة،
• HMAC-SHA384 باستخدام المفتاح wp-sha384،
• ترميز Base64 للمخرجات الناتجة،
• ثم التحقق من bcrypt.

لماذا نحتاج إلى خطوة ما قبل التجزئة

هذا يعني أنه لا يمكن إرسال قائمة كلمات عادية مباشرة إلى Hashcat إذا كنت ترغب في إعادة إنتاج منطق ووردبريس 6.8+ بالضبط.

بدلاً من ذلك، يجب تحويل كل كلمة مرور مرشحة أولاً إلى تمثيل ما قبل التجزئة المتوافق مع ووردبريس.

يتضمن المستودع أيضًا نصًا برمجيًا "مساعدًا" يقوم بـ:

• قبول التجزئة المستخرجة كوسيط،
• إزالة البادئة $wp$ عند الحاجة،
• معالجة قائمة الكلمات المقدمة مسبقًا،
• إنشاء القاموس المحول،
• اختياريًا إنشاء ملف تعيين،
• تشغيل Hashcat تلقائيًا،
• حل القيمة ما قبل التجزئة المستردة إلى كلمة المرور النصية الصريحة الأصلية.

سير العمل النموذجي

استخراج التجزئة:

• نتيجة مثال: $wp$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

تحضير بيئة الكسر:

• python3
• hashcat ومتوفر في PATH

تشغيل Auto_Crack.py:

python3 Auto_Crack.py -H '\$wp\$2y\$10\$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.' -w /usr/share/wordlists/rockyou.txt

نحتاج إلى هروب "$" باستخدام "\" -> التوافق مع bash

---

إرشادات اكتشاف SOC

يمكن استخدام محتوى الكشف التالي من قبل فرق SOC لتحديد محاولات الاستغلال وقياس النضج الدفاعي.

كشف Sigma