CVE-2022-1565 — استغلال تنفيذ تعليمات برمجية عن بعد مع مصادقة لإضافة WordPress WP All Import <= 3.6.7 (CVE-2022-1565). يقوم بتحميل ملفات عشوائية عبر التحقق غير الآمن من نوع الملف في wp_all_import_get_gz.php. | Kitploit
استغلال تنفيذ تعليمات برمجية عن بعد مع مصادقة لإضافة WordPress WP All Import <= 3.6.7 (CVE-2022-1565). يقوم بتحميل ملفات عشوائية عبر التحقق غير الآمن من نوع الملف في wp_all_import_get_gz.php.
إضافة WordPress WP All Import <= 3.6.7 - تنفيذ التعليمات البرمجية عن بُعد (RCE) (مُوثقة)
root@kitploit:~
Ngày: 05 tháng 11 năm 2023
Tác giả khai thác: Việt HÙng (https://github.com/phanthibichtram12)
Trang chủ của nhà cung cấp: https://www.wpallimport.com/
Link phần mềm: https://wordpress.org/plugins/wp-all-import/advanced/ (kéo xuống chọn phiên bản)
Phiên bản: <= 3.6.7 (đã thử nghiệm: 3.6.7)
Đã thử nghiệm trên: WordPress 6.1 (không phụ thuộc vào hệ điều hành vì việc khai thác này KHÔNG cung cấp tải trọng)
CVE: CVE-2022-1565
وصف الثغرة
يُعد إضافة WP All Import عرضة لرفع ملفات عشوائية بسبب نقص التحقق من صحة نوع الملف عبر ملف wp_all_import_get_gz.php في الإصدارات حتى 3.6.7. وهذا يسمح للمهاجمين المُوثقين الذين لديهم صلاحيات مسؤول أو أعلى برفع ملفات عشوائية إلى خادم الموقع المتأثر، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.
كيفية عمل الاستغلال
1. تحضير ملف zip:
أنشئ ملف PHP بحمولتك (مثال: شِل عكسي)
عيّن المتغير "payload_file_name" باسم هذا الملف (مثال: "shell.php")
أنشئ ملف zip يحتوي على الحمولة
عيّن المتغير "zip_file_to_upload" بمسار هذا الملف (مثال: "/root/shell.zip")
2. سجل الدخول باستخدام حساب مسؤول:
عيّن المتغير "target_url" بعنوان URL الأساسي للهدف (لا تنه السلسلة بشرطة مائلة /)
عيّن المتغير "admin_user" باسم المستخدم لحساب المسؤول
عيّن المتغير "admin_pass" بكلمة مرور حساب المسؤول
3. احصل على wpnonce عبر طريقة get_wpnonce_upload_file()
في الواقع هناك نوعان من wpnonce:
الأول يتم استرجاعه بواسطة طريقة get_wpnonce_edit_settings() داخل الفئة PluginSetting. هذا wpnonce يسمح لنا بتغيير إعدادات الإضافة (انظر الخطوة 4)
الثاني يتم استرجاعه بواسطة طريقة get_wpnonce_upload_file() داخل الفئة PluginSetting. هذا wpnonce يسمح لنا برفع الملفات
4. تحقق مما إذا كان وضع الأمان للإضافة مفعّلاً عبر طريقة check_if_secure_mode_is_enabled() داخل الفئة PluginSetting
إذا كان وضع الأمان مفعّلاً، يتم وضع محتوى zip في مجلد عشوائي الاسم. سيقوم الاستغلال بتعطيل وضع الأمان. بتعطيل وضع الأمان، يتم وضع محتوى zip في المجلد الرئيسي (تحقق من المتغير payload_url). الطريقة المستخدمة لتفعيل وإلغاء تفعيل وضع الأمان هي set_plugin_secure_mode(set_to_enabled:bool, wpnonce:str)
إذا لم يكن وضع الأمان مفعّلاً، فسيقوم الاستغلال برفع الملف لكنه لن يقوم بتفعيل وضع الأمان لاحقًا.
5. رفع الملف عبر طريقة upload_file(wpnonce_upload_file: str)
بعد الرفع، سيرد الخادم برمز HTTP 200 OK لكن هذا لا يعني أن الرفع تم بنجاح. ستحتوي الاستجابة على JSON بهذا الشكل:
{"jsonrpc":"2.0","error":{"code":102,"message":"يرجى التحقق من أن الملف الذي رفعته هو ملف ZIP صالح."},"is_valid":false,"id":"معرف"}
كما ترى، يُبلغ عن خطأ بالرمز 102 لكن وفقًا للفحص الذي أجريته، تم الرفع بنجاح.
6. أعد تفعيل وضع الأمان إذا كان مفعّلاً عبر طريقة switch_back_to_secure_mode()
7. فعّل الحمولة عبر طريقة activate_payload()
يمكنك تحديد طريقة لتفعيل الحمولة. السبب وراء هذا الاختيار هو أن هذا الاستغلال لا يقدم أي حمولة. نظرًا لأنه يمكنك استخدام حمولة مخصصة، فقد ترغب في تفعيلها عبر طلب HTTP POST بدلاً من طلب HTTP GET، أو قد ترغب في تمرير معلمات.
لماذا يستغل الاستغلال وضع الأمان؟
وفقًا لـ PoC لهذه الثغرة المقدمة من WPSCAN، يمكننا استرجاع الملفات المرفوعة بالوصول إلى "صفحة الواردات المُدارة". لا أعرف لماذا، لكن بعد رفع أي ملف، لم أتمكن من رؤية الملف المرفوع في تلك الصفحة (ربما يتطلب الإصدار Pro؟). اضطررت لإيجاد حل بديل وفعلت ذلك باستغلال هذا الخيار.
أثناء الاختبار، لاحظت أنني كنت أرفع ملف XML غير صالح، ولهذا السبب لم يظهر في "صفحة الواردات المُدارة".
على أي حال، هذه الطريقة لتعطيل وضع الأمان أكثر "تخفيًا" لأن المحتوى المرفوع لا يظهر في صفحة الإدارة.
إذا كنت تريد رؤية الملف المرفوع في صفحة الإدارة، فستكون هناك حاجة لخطوات إضافية.
هل هناك أي مشاكل في الاستغلال؟
لكي يكون الاستغلال فعالًا، يرجى مراعاة ما يلي:
تحقق من target_url وبيانات اعتماد المسؤول
تحقق من مسار ملف zip واسم الحمولة (قد يختلفان)
إذا كنت تختبر محليًا، حاول ضبط verify_ssl_certificate على False
يمكنك استخدام print_response(http_response) لمزيد من التحقيق
phanthibichtram12/cve-2022-1565
