📋 Aperçu de la vulnérabilité

🧠 Description technique

Le plugin Backup Migration pour WordPress est vulnérable à l'exécution de code à distance dans toutes les versions jusqu'à la 1.3.7 incluse, via le fichier /includes/backup-heart.php.

La vulnérabilité existe car un attaquant peut contrôler les valeurs passées à une instruction include de PHP via l'en-tête HTTP Content-Dir. En utilisant une chaîne de filtres PHP, un attaquant peut injecter du code PHP arbitraire sans authentification — réalisant une exécution de code à distance complète sur le serveur.

Étude de cas

https://medium.com/@phantom_hat/cve-2023-6553-wordpress-backup-migration-1-3-7-case-study-31cb8275274b

Flux d'attaque

┌──────────┐    En-tête Content-Dir    ┌──────────────────────┐    include()    ┌──────────┐
│ Attaquant│ ──── Chaîne de filtres ──▶│  backup-heart.php    │ ──────────────▶ │   RCE    │
│          │    (aucune authentification)                      │                 │  sur hôte│
└──────────┘                          └──────────────────────┘                 └──────────┘

1. Reconnaissance — Détecter la version du plugin installé via readme.txt
2. Génération de la charge utile — Construire une chaîne de filtres PHP qui se résout en code PHP arbitraire
3. Livraison de l'exploit — Envoyer la chaîne conçue dans l'en-tête Content-Dir au point d'accès vulnérable
4. Exécution de commande — Exécuter des commandes OS via un webshell déployé

🗂️ Structure du dépôt

.
├── exploit.py              # 🎯 Exploit propre et professionnel (mode verbeux pris en charge)
├── fancy_exploit.py        # ✨ Version fancy — même exploit, meilleure ambiance
├── php_filter_chain.py     # 🔗 Module générateur de chaîne de filtres PHP
└── README.md               # 📖 Vous êtes ici

exploit.py — Exploit professionnel

Le script d'exploit principal et propre, conçu pour une utilisation professionnelle dans les tests de sécurité et les études de cas. Fonctionnalités :

• Sortie terminale propre et structurée avec Rich
• Exécution par phases (Reconnaissance → Charge utile → Livraison → Exécution)
• Mode verbeux (-v) pour une sortie opérationnelle détaillée
• Mode vérification de vulnérabilité uniquement (-C)
• Tableau récapitulatif de l'exploit à la fin

fancy_exploit.py — La version fancy ✨

Une version plus expressive du même exploit avec une personnalité supplémentaire. Fonctionnellement identique à exploit.py mais avec une présentation beaucoup plus colorée :

• 🎨 Sortie terminale colorée, arc-en-ciel
• 🎭 Réactions kaomoji aléatoires (succès, échec, visages d'attaque)
• 🖼️ Bannière ASCII art
• 💡 Journalisation enrichie d'émojis (💀 erreurs, ✨ succès, 🔥 phases d'attaque)
• 📊 Résumé de mission stylisé avec indicateurs émojis

Remarque : Les deux scripts partagent une logique d'attaque identique — fancy_exploit.py enveloppe simplement l'expérience dans une couche de sortie visuellement plus expressive.

⚙️ Installation

Prérequis

• Python 3.8+
• Gestionnaire de paquets pip

Configuration

# Cloner le dépôt
git clone https://github.com/<votre-nom-utilisateur>/CVE-2023-6553.git
cd CVE-2023-6553

# Installer les dépendances
pip install -r requirements.txt

Remarque : php_filter_chain.py est un module local inclus dans le dépôt — aucune installation supplémentaire nécessaire.

🚀 Utilisation

exploit.py

# Vérifier si une cible est vulnérable (reconnaissance uniquement)
python3 exploit.py -u http://cible.com -C

# Exploiter et exécuter une commande
python3 exploit.py -u http://cible.com -c id

# Vérifier la vulnérabilité d'abord, puis exploiter
python3 exploit.py -u http://cible.com -C -c whoami

# Mode verbeux pour une sortie détaillée
python3 exploit.py -u http://cible.com -c id -v

fancy_exploit.py

# Vérifier si une cible est vulnérable
python3 fancy_exploit.py -u http://cible.com -C

# Exploiter et exécuter une commande
python3 fancy_exploit.py -u http://cible.com -c id

# Vérifier d'abord, puis exploiter si vulnérable
python3 fancy_exploit.py -u http://cible.com -C -c whoami

Drapeaux de ligne de commande

📸 Phases de l'exploit

🔗 Références

• NVD : https://nvd.nist.gov/vuln/detail/CVE-2023-6553
• Avis de Wordfence : https://www.wordfence.com/threat-intel/vulnerabilities/id/3511ba64-56a3-43d7-8ab8-c6e40e3b686e
• Source vulnérable (L118) : https://plugins.trac.wordpress.org/browser/backup-backup/tags/1.3.7/includes/backup-heart.php#L118
• Chaînes de filtres PHP (Synacktiv) : https://www.synacktiv.com/en/publications/php-filters-chain-what-is-it-and-how-to-use-it
• PacketStorm : http://packetstormsecurity.com/files/176638/WordPress-Backup-Migration-1.3.7-Remote-Command-Execution.html
• Ensemble de modifications du correctif : https://plugins.trac.wordpress.org/changeset?old=3006541%40backup-backup&new=3006541%40backup-backup

🛡️ Remédiation

• Mettez à jour le plugin Backup Migration vers la version 1.3.8 ou ultérieure
• Supprimez complètement le plugin s'il n'est pas utilisé activement
• Implémentez une règle de pare-feu d'application Web (WAF) pour bloquer les en-têtes Content-Dir suspects
• Auditez les journaux du serveur pour détecter les signes d'exploitation antérieure

⚠️ Avertissement

Cet outil est fourni uniquement à des fins de test de sécurité autorisé et de formation.

L'accès non autorisé aux systèmes informatiques est illégal en vertu de lois telles que le Computer Fraud and Abuse Act (CFAA), le Computer Misuse Act et une législation similaire dans le monde entier. L'auteur décline toute responsabilité en cas d'utilisation abusive de ce logiciel.

Utilisez cet outil uniquement contre des systèmes que vous possédez ou pour lesquels vous avez reçu une autorisation écrite explicite de tester.