CVE-2025-4396 - वर्डप्रेस Relevanssi समय-आधारित ब्लाइंड SQL इंजेक्शन टूलकिट

अवलोकन

इस रिपॉजिटरी में CVE-2025-4396 के लिए एक व्यावहारिक अनुसंधान और सत्यापन टूलकिट है, जो वर्डप्रेस Relevanssi प्लगइन को cats पैरामीटर के माध्यम से प्रभावित करने वाला एक अप्रमाणित समय-आधारित ब्लाइंड SQL इंजेक्शन है।

यह प्रोजेक्ट अधिकृत पर्पल टीम अभियानों के लिए बनाया गया था ताकि:

• नियंत्रित तरीके से शोषण क्षमता को मान्य किया जा सके,
• विभिन्न हमलावर तकनीकी स्तरों का प्रदर्शन किया जा सके,
• SOC डिटेक्शन कवरेज को मापा जा सके,
• यथार्थवादी तरीके से वर्डप्रेस पासवर्ड हैश निकाला जा सके,
• और हैश प्राप्त होने के बाद ऑफ़लाइन क्रैकिंग वर्कफ़्लो को स्वचालित किया जा सके।

रिपॉजिटरी में शामिल हैं:

• एक मानक निष्कर्षण स्क्रिप्ट,
• एक तेज़ बाइनरी-सर्च निष्कर्षण स्क्रिप्ट,
• और निकाले गए वर्डप्रेस 6.8+ हैश को Hashcat के साथ तैयार करने और क्रैक करने के लिए एक सहायक स्क्रिप्ट।

अस्वीकरण
यह प्रोजेक्ट केवल शैक्षिक, रक्षात्मक सत्यापन और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है।
इसका उपयोग उन सिस्टम के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके मूल्यांकन के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है।

परीक्षण वातावरण

• सर्वर : डेबियन 11
• वर्डप्रेस 6.9.1,
• Relevanssi प्लगइन 4.24.4 (https://wordpress.org/plugins/relevanssi/advanced/ से डाउनलोड किया गया),
• POC काली लिनक्स OS से उपयोग किया गया।

CVE विवरण

CVE-2025-4396 वर्डप्रेस में Relevanssi खोज कार्यक्षमता को प्रभावित करने वाली एक SQL इंजेक्शन भेद्यता है।

परीक्षण किए गए परिदृश्य में, यह समस्या खोज वर्कफ़्लो के माध्यम से और विशेष रूप से cats पैरामीटर के माध्यम से पहुंच योग्य है। कमजोर कोड पथ हमलावर-नियंत्रित इनपुट को प्लगइन द्वारा उत्पन्न SQL क्वेरी को प्रभावित करने की अनुमति देता है।

चूंकि कमजोर एंडपॉइंट बिना पूर्व प्रमाणीकरण के पहुंच योग्य है, इसलिए दोष का उपयोग दूरस्थ हमलावर द्वारा अप्रमाणित SQL इंजेक्शन करने के लिए किया जा सकता है।

व्यावहारिक प्रभाव में शामिल हैं:

• डेटाबेस क्वेरी हेरफेर,
• समय-आधारित ब्लाइंड SQL इंजेक्शन,
• पासवर्ड हैश जैसे संवेदनशील डेटा का निष्कर्षण,
• और, पर्यावरण के आधार पर, मान्य क्रेडेंशियल पुनर्प्राप्ति के माध्यम से संभावित विशेषाधिकार वृद्धि।

भेद्यता कैसे काम करती है

मूल कारण

भेद्यता इसलिए मौजूद है क्योंकि खोज-संबंधित पैरामीटर से उपयोगकर्ता-नियंत्रित इनपुट को SQL क्वेरी में शामिल करने से पहले सुरक्षित रूप से नहीं संभाला जाता है।

व्यवहार में, इसका मतलब है कि एक हमलावर SQL अभिव्यक्तियों को बैकएंड क्वेरी लॉजिक में इंजेक्ट कर सकता है और डेटाबेस को अतिरिक्त शर्तों का मूल्यांकन करने के लिए मजबूर कर सकता है।

यह ब्लाइंड क्यों है

भेद्यता का शोषण ब्लाइंड मोड में किया जाता है, जिसका अर्थ है कि एप्लिकेशन सीधे SQL त्रुटियों या कच्चे डेटाबेस परिणामों को प्रदर्शित नहीं करता है।

पेज से क्वेरी आउटपुट पढ़ने के बजाय, हमलावर डेटाबेस से सही/गलत प्रश्नों की एक श्रृंखला पूछता है और एक दुष्प्रभाव देखता है:

• यदि स्थिति सत्य है, तो डेटाबेस कुछ सेकंड के लिए सो जाता है,
• यदि स्थिति असत्य है, तो प्रतिक्रिया तुरंत लौट आती है।

यह समय-आधारित क्यों है

शोषण सर्वर प्रतिक्रिया समय में मापने योग्य अंतर बनाने के लिए SLEEP() जैसे SQL फंक्शन पर निर्भर करता है।

यह एक हमलावर को सीधे देखे बिना डेटा का अनुमान लगाने की अनुमति देता है।

उदाहरण के लिए, हमलावर इस तरह के प्रश्न पूछ सकता है:

• "क्या पहला वर्ण $ के बराबर है?"
• "क्या दूसरे वर्ण का ASCII मान 77 से अधिक है?"
• "क्या पहले N वर्ण इस पैटर्न से मेल खाते हैं?"

इस प्रक्रिया को दोहराकर, हमलावर एक पूर्ण हैश को वर्ण दर वर्ण पुनर्निर्मित कर सकता है।

शोषण कैसे काम करता है

मानक निष्कर्षण तर्क

मानक दृष्टिकोण एक ज्ञात वर्ण सेट के माध्यम से पुनरावृत्ति करता है और एक-एक करके प्रत्येक उम्मीदवार का परीक्षण करता है।

लक्ष्य हैश में प्रत्येक स्थिति के लिए:

1. एक वर्ण को लक्षित करने वाली SQL स्थिति बनाएँ।
2. केवल तभी सर्वर विलंब ट्रिगर करें यदि अनुमान सही है।
3. प्रतिक्रिया समय मापें।
4. नेटवर्क जिटर के कारण होने वाले गलत सकारात्मक को कम करने के लिए उसी अनुरोध को फिर से भेजें।
5. पुष्टि किए गए वर्ण को निकाले गए हैश में जोड़ें।
6. अगली स्थिति पर जाएँ।

यह विधि सरल और विश्वसनीय है, लेकिन अपेक्षाकृत धीमी है क्योंकि प्रति वर्ण कई अनुरोधों की आवश्यकता हो सकती है।

बाइनरी सर्च निष्कर्षण तर्क

तेज़ दृष्टिकोण प्रत्येक वर्ण के ASCII मान पर बाइनरी सर्च का उपयोग करता है।

पूछने के बजाय:

• "क्या वर्ण a के बराबर है?"
• "क्या वर्ण b के बराबर है?"
• "क्या वर्ण c के बराबर है?"

यह पूछता है:

• "क्या ASCII मान 79 से अधिक है?"
• "क्या यह 55 से अधिक है?"
• "क्या यह 43 से अधिक है?"

यह प्रत्येक अनुरोध पर खोज स्थान को आधा कर देता है और HTTP अनुरोधों की संख्या को नाटकीय रूप से कम करता है।

व्यावहारिक परिणाम

यह हमला ऑपरेटर को wp_users से user_pass मान निकालने की अनुमति देता है, आमतौर पर चुने गए वर्डप्रेस उपयोगकर्ता आईडी जैसे:

• डिफ़ॉल्ट व्यवस्थापक के लिए 1,
• या कमांड लाइन पर पारित कोई अन्य आईडी।

हाल के वर्डप्रेस संस्करणों में, यह मान नए वर्डप्रेस 6.8+ पासवर्ड पाइपलाइन का उपयोग कर सकता है, जो संयोजन करता है:

• HMAC-SHA384 का उपयोग करके प्री-हैशिंग चरण,
• Base64 एन्कोडिंग,
• और एक अंतिम bcrypt हैश।

शामिल स्क्रिप्ट्स

1. CVE_2025_4396.py

यह मानक निष्कर्षण स्क्रिप्ट है।

उद्देश्य :

यह एक क्लासिक टाइम-बेस्ड ब्लाइंड SQL इंजेक्शन करता है और एक निश्चित कैरेक्टर सेट पर लीनियर सर्च का उपयोग करके लक्ष्य हैश को कैरेक्टर दर कैरेक्टर निकालता है।

मुख्य विशेषताएँ :

• सरल और समझने में आसान,
• स्थिर वातावरण में विश्वसनीय,
• गलत सकारात्मक को कम करने के लिए डबल-वेरिफिकेशन लॉजिक,
• डिटेक्शन इंजीनियरिंग और PoC प्रदर्शनों के लिए आधार रेखा के रूप में उपयोगी।

यह कैसे काम करता है :

प्रत्येक कैरेक्टर स्थिति के लिए:

• यह एक पूर्वनिर्धारित कैरेक्टर सेट के माध्यम से पुनरावृत्ति करता है,
• एक एकल कैरेक्टर से मेल खाने वाली SQL स्थिति बनाता है,
• सर्वर प्रतिक्रिया की प्रतीक्षा करता है,
• और दूसरे अनुरोध के साथ हिट की पुष्टि करता है।

आवश्यकताएँ :

• python3
• requests
• urllib3

स्थापना :

pip3 install requests urllib3

उपयोग :

python3 CVE_2025_4396.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

आर्गुमेंट्स :
    -t, --target : इंजेक्टेबल पैरामीटर सहित कमजोर लक्ष्य URL
    -u, --userid : लक्षित करने के लिए वर्डप्रेस उपयोगकर्ता आईडी
    -s, --sleep : सेकंड में स्लीप थ्रेशोल्ड
    -v, --verbose : डिबग लॉगिंग सक्षम करें

2. CVE_2025_4396_Stealth.py

यह बाइनरी सर्च संस्करण है।

उद्देश्य :

यह मानक स्क्रिप्ट के समान निष्कर्षण उद्देश्य को पूरा करता है, लेकिन लीनियर कैरेक्टर-बाय-कैरेक्टर सर्च को ASCII मानों पर बाइनरी सर्च से बदल देता है।

मुख्य विशेषताएँ :

• काफी कम HTTP अनुरोध,
• छोटा नेटवर्क फुटप्रिंट,
• गलत सकारात्मक को रोकने के लिए अभी भी डबल-चेक चरण शामिल है।

यह कैसे काम करता है :

प्रत्येक स्थिति के लिए:

• एक प्रिंट करने योग्य ASCII श्रेणी परिभाषित करें।
• मध्य बिंदु का परीक्षण करें।
• पूछें कि क्या लक्ष्य कैरेक्टर उस मध्य बिंदु से अधिक है।
• तदनुसार श्रेणी कम करें।
• तब तक जारी रखें जब तक सटीक कैरेक्टर की पहचान न हो जाए।

आवश्यकताएँ :

• python3
• requests
• urllib3

स्थापना :

pip3 install requests urllib3

उपयोग :

python3 CVE_2025_4396_Stealth.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

इसका उपयोग कब करें :

• लक्ष्य कमजोर साबित हो चुका है,
• विलंबता पर्याप्त रूप से स्थिर है,
• और लक्ष्य अनुरोध मात्रा को कम करना है।

ऑफ़लाइन हैश क्रैकिंग वर्कफ़्लो

एक बार जब पासवर्ड हैश वर्डप्रेस से निकाल लिया जाता है, तो अगला कदम इसे ऑफ़लाइन क्रैक करना है।

वर्डप्रेस 6.8+ हैशिंग नोट्स। परीक्षण किए गए वर्कफ़्लो में, निकाला गया मान इस तरह दिख सकता है:

$wp$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

Hashcat के लिए, उपयोग करने योग्य bcrypt भाग है:

$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

हालाँकि, यह bcrypt सीधे कच्चे पासवर्ड पर लागू नहीं होता है। वर्डप्रेस पहले एक प्रीप्रोसेसिंग चरण लागू करता है:

• उम्मीदवार पासवर्ड पर PHP-शैली ट्रिम,
• कुंजी wp-sha384 का उपयोग करके HMAC-SHA384,
• परिणामी डाइजेस्ट का Base64 एन्कोडिंग,
• फिर bcrypt सत्यापन।

प्री-हैशिंग चरण की आवश्यकता क्यों है

इसका मतलब है कि यदि आप सटीक वर्डप्रेस 6.8+ लॉजिक को पुन: उत्पन्न करना चाहते हैं तो एक सामान्य वर्डलिस्ट सीधे Hashcat को नहीं भेजी जा सकती है।

इसके बजाय, प्रत्येक उम्मीदवार पासवर्ड को पहले अपने वर्डप्रेस-संगत प्री-हैश प्रतिनिधित्व में रूपांतरित किया जाना चाहिए।

रिपॉजिटरी में एक "सहायक" स्क्रिप्ट भी शामिल है जो:

• निकाले गए हैश को एक तर्क के रूप में स्वीकार करता है,
• आवश्यकता पड़ने पर $wp$ उपसर्ग हटाता है,
• आपूर्ति की गई वर्डलिस्ट को प्री-प्रोसेस करता है,
• रूपांतरित शब्दकोश उत्पन्न करता है,
• वैकल्पिक रूप से एक मैपिंग फ़ाइल बनाता है,
• Hashcat को स्वचालित रूप से लॉन्च करता है,
• पुनर्प्राप्त प्री-हैश को मूल क्लियरटेक्स्ट पासवर्ड में हल करता है।

विशिष्ट वर्कफ़्लो

हैश निकालें :

• उदाहरण परिणाम : $wp$2y$10$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.

क्रैकिंग वातावरण तैयार करें :

• python3
• hashcat और PATH में उपलब्ध

Auto_Crack.py चलाएँ :

python3 Auto_Crack.py -H '\$wp\$2y\$10\$zPA8xGJMvr.kvAAIIYaCreIMnTDpgw/9o8K7.ONBm/KBbNIywQtu.' -w /usr/share/wordlists/rockyou.txt

हमें "$" को "\" से एस्केप करने की आवश्यकता है -> bash संगतता

SOC डिटेक्शन मार्गदर्शन

निम्नलिखित डिटेक्शन सामग्री का उपयोग SOC टीमों द्वारा शोषण प्रयासों की पहचान करने और रक्षात्मक परिपक्वता को मापने के लिए किया जा सकता है।

सिग्मा डिटेक्शन

title: Potential Time-Based Blind SQLi (CVE-2025-4396 Relevanssi)
id: 5a8a1c93-5c74-4b5b-a620-8e1c3e41ab5d
status: experimental
description: Detects HTTP GET requests containing typical Time-Based Blind SQL injection payloads often used to exploit CVE-2025-4396 in the WordPress Relevanssi plugin (bypassing comma filters).
author: n3fhara
date: 2026-03-18
tags:
    - attack.initial_access
    - attack.t1190
    - cve.2025-4396
logsource:
    category: webserver
detection:
    selection_endpoint:
        cs-uri-query|contains:
            - 's='
            - 'cats='
            - 'tags='
    selection_payload:
        cs-uri-query|contains:
            - 'SLEEP('
            - 'WAITFOR'
            - 'SUBSTRING('
            - 'ASCII('
            - 'LENGTH('
    selection_bypass_indicators:
        cs-uri-query|contains:
            - 'FROM'
            - 'FOR 1'
            - '*('
    condition: selection_endpoint and selection_payload and selection_bypass_indicators
falsepositives:
    - Highly unlikely. Legitimate search queries should not contain SQL functions.
level: high

सुरिकाटा डिटेक्शन

alert tcp $EXTERNAL_NET any -> $HTTP_SERVERS $HTTP_PORTS (msg:"ET EXPLOIT WordPress Relevanssi SQLi Attempt (CVE-2025-4396)"; flow:established,to_server; content:"GET"; http_method; content:"cats="; http_uri; pcre:"/(cats|tags)=.*(SLEEP|WAITFOR)%28.*(%2A|\*).*SUBSTRING/i"; classtype:web-application-attack; sid:1000001; rev:1; metadata:created_at 2026_03_18, cve CVE_2025_4396;)

SPLUNK डिटेक्शन

index=web_logs sourcetype=access_combined 
| regex uri_query="(?i)cats=|tags="
| stats count as request_count, avg(response_time) as avg_time, max(response_time) as max_time, dc(uri_query) as unique_payloads by clientip
| where request_count > 20 AND max_time > 2000
| sort - max_time

KQL डिटेक्शन

url.query : (*cats=* OR *tags=* OR *s=*) AND url.query : (*SLEEP* OR *WAITFOR* OR *SUBSTRING* OR *ASCII*) AND url.query : (*FROM* OR *FOR* OR *%2A*)

EQL डिटेक्शन

sequence by source.ip with maxspan=1m
  [network where url.path == "/" and url.query : "*cats=*" and event.duration > 2000000000]
  [network where url.path == "/" and url.query : "*cats=*" and event.duration > 2000000000]
  [network where url.path == "/" and url.query : "*cats=*" and event.duration > 2000000000]

डिटेक्शन गैप्स और अनुशंसाएँ

उपरोक्त बेसलाइन डिटेक्शन गैर-अस्पष्ट शोषण के लिए अच्छे हैं, लेकिन जब कोई ऑपरेटर अधिक उन्नत तकनीक का परिचय देता है तो वे कमजोर हो जाते हैं।

SOC दृश्यता तब कम हो जाती है जब हमलावर इसका उपयोग करना शुरू करता है:

• स्पष्ट फंक्शन के बजाय वैकल्पिक SQL फंक्शन,
• URL एन्कोडिंग और टिप्पणी-आधारित अस्पष्टता,
• बाइनरी सर्च के माध्यम से कम अनुरोध मात्रा,
• जिटर और धीमी-और-स्थिर टाइमिंग,
• प्रॉक्सी रोटेशन,
• ब्राउज़र प्रतिरूपण।

SOC के लिए अतिरिक्त डिटेक्शन विचार :

• असामान्य धीमी खोज ट्रैफ़िक का पता लगाएं,
• वर्डप्रेस खोज एंडपॉइंट पर अनुरोधों की निगरानी करें जहाँ:
  • प्रतिक्रिया समय बार-बार बढ़ा हुआ हो,
  • वही क्लाइंट कई खोज अनुरोध करता हो,
  • या समान एंडपॉइंट समय के साथ असामान्य विलंबता पैटर्न दिखाता हो।
• एन्कोडेड ऑपरेटरों वाले खोज पैरामीटर पर अलर्ट,
• भले ही स्पष्ट SQL कीवर्ड दिखाई न दें, खोज पैरामीटर जिनमें संयोजन हों :
  • एन्कोडेड तुलना ऑपरेटर,
  • संदिग्ध कोष्ठक घनत्व,
  • बार-बार संख्यात्मक तर्क,
  • या भारी URL-एन्कोडेड क्वेरी स्ट्रिंग्स।
• केवल स्रोत IP द्वारा नहीं, एंडपॉइंट द्वारा सहसंबंधित करें,
• यदि हमलावर प्रॉक्सी घुमाता है, तो IP सहसंबंध कमजोर हो जाता है। डिटेक्शन को इस पर भी ध्यान केंद्रित करना चाहिए :
  • समान एंडपॉइंट तक बार-बार पहुँच,
  • बार-बार विलंबित प्रतिक्रियाएँ,
  • या समान वर्डप्रेस पेज को लक्षित करने वाले बार-बार दुर्भावनापूर्ण खोज क्वेरी।
• लंबी-अवधि व्यवहार डिटेक्शन का उपयोग करें :
  • 30-मिनट,
  • 1-घंटा,
  • या बहु-घंटे की खिड़कियाँ।
• डेटाबेस-साइड धीमी क्वेरी की निगरानी करें

रिपॉजिटरी संरचना

.
├── CVE_2025_4396.py
├── CVE_2025_4396_Stealth.py
├── Auto_Crack.py
├── README.md
└── relevanssi.4.24.4.zip

कानूनी नोटिस

केवल उन वातावरणों में उपयोग करें जहाँ आपको स्पष्ट रूप से परीक्षण करने का अधिकार है। लेखक और योगदानकर्ता दुरुपयोग के लिए कोई देयता नहीं लेते हैं।

अस्वीकरण
यह प्रोजेक्ट केवल शैक्षिक, रक्षात्मक सत्यापन और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है।
इसका उपयोग उन सिस्टम के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके मूल्यांकन के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है।