sijiahi/wordpress_cve-2019-9787_defenseCeci est une récurrence de cve-2019-9787 sur Wordpress et une défense basée sur le hachage.
Ceci est un projet de Sijia Zhang(https://github.com/sijiahi) et Bowen Zhou(https://github.com/KonjakZhou)
- Configurez et installez Wordpress5.0 sous http://localhost/wp-admin/ ;
- Connectez-vous à Wordpress en tant qu'admin, publiez au moins un article ;
- ouvrez mal.html (configuré sous un autre nom de domaine, éventuellement directement ouvert en tant que fichier dans le navigateur), cliquez sur soumettre la requête.
- Si cela fonctionne, vous serez redirigé vers la page de l'article avec le commentaire "cliquez-moi", une fois que vous déplacez votre souris dessus, une fenêtre contextuelle indiquant le succès de l'attaque apparaît.
- Remplacez les fichiers dans /wp-includes, ajoutez des scripts js dans /wp-includes/js.
- Déplacez le fichier de post simulé dans la région WP, ouvrez la page de post simulé pour tester la fonction PINGBACK/TRACEBACK.
- Si cela fonctionne, vous serez redirigé vers la page de l'article avec le commentaire "ancre légale" ;
- Ouvrez mal.com depuis un autre nom de domaine, testez l'attaque CSRF.
Pour défendre Wordpress contre CVE-2019-9787, un nouveau champ appelé doggyNonce est introduit. Dans les cas où l'administrateur tente d'adopter la fonction PINGBACK, et que le _wp_unfiltered_html ne peut pas être fourni, nous demandons à l'administrateur de signer une signature sur les attributs de leurs balises téléchargées avec leur cookie, cela nous permet de défendre contre les attaques CSRF et d'assurer l'intégrité des attributs de balises téléchargées.
Wordpress accepte automatiquement un commentaire sans jeton CSRF correct comme une requête PINFBACK et TRACEBACK, filtre ce commentaire avec un filtre de liste blanche, extrait le champ href et reconstruit la balise "a". Pour défendre cette vulnérabilité, deux points clés sont pris en compte : 1. Le serveur ne peut pas distinguer une requête CSRF illégale d'une requête légale PINGBACK/TRACEBACK. 2. L'attaquant CSRF injecte son code dans le champ href de la balise "a", l'attribut de la balise change après avoir été filtré. doggyNonce est une valeur de hachage qui dépend de *cookie(wp-setting-time-$uid) et de *attribut href téléchargé : doggyNonce=Hash(*attribut href téléchargé,*cookie) il convient de noter que doggyNonce joue le rôle de la signature de l'administrateur sur l'attribut href téléchargé.
1. 'mal.html' est destiné à simuler une attaque CSRF, et est donc censé être placé dans un domaine autre que Wordpress ;
2. 'post.html' est destiné à simuler la fonction PINGBACK/TRACEBACK, et est donc censé être placé dans le même domaine que WP ;