WordPress Plugin WP All Import <= 3.6.7 - रिमोट कोड निष्पादन (RCE) (प्रमाणित)

दिनांक: 5 नवंबर 2023
शोषण लेखक: Việt HÙng (https://github.com/phanthibichtram12)
विक्रेता का होमपेज: https://www.wpallimport.com/
सॉफ्टवेयर लिंक: https://wordpress.org/plugins/wp-all-import/advanced/ (नीचे स्क्रॉल करें और संस्करण चुनें)
संस्करण: <= 3.6.7 (परीक्षित: 3.6.7)
परीक्षित: WordPress 6.1 (ऑपरेटिंग सिस्टम पर निर्भर नहीं क्योंकि यह शोषण कोई पेलोड प्रदान नहीं करता)
CVE: CVE-2022-1565

दोष विवरण

WP All Import प्लगइन wp_all_import_get_gz.php फ़ाइल के माध्यम से फ़ाइल प्रकार सत्यापन की कमी के कारण संस्करण 3.6.7 तक (और इसमें शामिल) मनमानी फ़ाइल अपलोड के प्रति संवेदनशील है। यह प्रमाणित हमलावरों को, जिनके पास कम से कम प्रशासक स्तर की अनुमतियाँ हैं, प्रभावित साइट के सर्वर पर मनमानी फ़ाइलें अपलोड करने की अनुमति देता है, जिससे रिमोट कोड निष्पादन हो सकता है।

शोषण कैसे काम करता है

1. ज़िप फ़ाइल तैयार करें:

• अपने पेलोड के साथ एक PHP फ़ाइल बनाएं (जैसे रिवर्स शेल)
• वेरिएबल "payload_file_name" को इस फ़ाइल के नाम पर सेट करें (जैसे "shell.php")
• पेलोड के साथ एक ज़िप फ़ाइल बनाएं
• वेरिएबल "zip_file_to_upload" को इस फ़ाइल के PATH पर सेट करें (जैसे "/root/shell.zip")

2. प्रशासक खाते से लॉगिन करें:

• वेरिएबल "target_url" को लक्ष्य के बेस URL पर सेट करें (स्ट्रिंग को फॉरवर्ड स्लैश / के साथ समाप्त न करें)
• वेरिएबल "admin_user" को प्रशासक खाते के उपयोगकर्ता नाम पर सेट करें
• वेरिएबल "admin_pass" को प्रशासक खाते के पासवर्ड पर सेट करें

3. get_wpnonce_upload_file() विधि का उपयोग करके wpnonce प्राप्त करें

• वास्तव में 2 प्रकार के wpnonce हैं:
• पहला wpnonce PluginSetting वर्ग के अंदर get_wpnonce_edit_settings() विधि द्वारा प्राप्त किया जाएगा। यह wpnonce हमें प्लगइन सेटिंग बदलने की अनुमति देता है (चरण 4 देखें)
• दूसरा wpnonce PluginSetting वर्ग के अंदर get_wpnonce_upload_file() विधि द्वारा प्राप्त किया जाएगा। यह wpnonce हमें फ़ाइल अपलोड करने की अनुमति देता है

4. PluginSetting वर्ग के अंदर check_if_secure_mode_is_enabled() विधि का उपयोग करके जांचें कि प्लगइन सुरक्षित मोड सक्षम है या नहीं

• यदि सुरक्षित मोड सक्षम है, तो ज़िप सामग्री एक यादृच्छिक नाम वाली निर्देशिका में रखी जाएगी। शोषण सुरक्षित मोड को अक्षम कर देगा। सुरक्षित मोड को अक्षम करने से, ज़िप सामग्री मुख्य निर्देशिका में डाली जाएगी (payload_url वेरिएबल देखें)। सुरक्षित मोड को सक्षम और अक्षम करने के लिए उपयोग की जाने वाली विधि set_plugin_secure_mode(set_to_enabled:bool, wpnonce:str) है
• यदि सुरक्षित मोड सक्षम नहीं है, तो शोषण फ़ाइल अपलोड करेगा लेकिन बाद में सुरक्षित मोड को सक्षम नहीं करेगा।

5. upload_file(wpnonce_upload_file: str) विधि का उपयोग करके फ़ाइल अपलोड करें

• अपलोड करने के बाद, सर्वर HTTP 200 OK के साथ उत्तर देगा लेकिन इसका मतलब यह नहीं है कि अपलोड सफलतापूर्वक पूरा हो गया है। प्रतिक्रिया में JSON होगा जो कुछ इस प्रकार दिखेगा: {"jsonrpc":"2.0","error":{"code":102,"message":"कृपया सत्यापित करें कि आपके द्वारा अपलोड की गई फ़ाइल एक मान्य ZIP फ़ाइल है।"},"is_valid":false,"id":"पहचान"} जैसा कि आप देख सकते हैं, यह कोड 102 के साथ एक त्रुटि बताता है लेकिन मेरे परीक्षण के अनुसार अपलोड पूरा हो गया है

6. यदि सुरक्षित मोड सक्षम था तो switch_back_to_secure_mode() विधि का उपयोग करके इसे पुनः सक्षम करें

7. activate_payload() विधि का उपयोग करके पेलोड को सक्रिय करें

• आप पेलोड को सक्रिय करने की विधि को परिभाषित कर सकते हैं। इस विकल्प के पीछे का कारण यह है कि यह शोषण कोई पेलोड प्रदान नहीं करता है। चूंकि आप कस्टम पेलोड का उपयोग कर सकते हैं, आप इसे HTTP GET अनुरोध के बजाय HTTP POST अनुरोध के माध्यम से सक्रिय करना चाह सकते हैं, या आप पैरामीटर पास करना चाह सकते हैं

शोषण सुरक्षित मोड को क्यों निष्क्रिय करता है?

WPSCAN द्वारा प्रदान की गई इस भेद्यता के PoC के अनुसार, हम "प्रबंधित आयात पृष्ठ" पर जाकर अपलोड की गई फ़ाइलों को पुनः प्राप्त कर सकते हैं। मुझे नहीं पता क्यों लेकिन कोई भी फ़ाइल अपलोड करने के बाद, मैं उस पृष्ठ पर अपलोड की गई फ़ाइल नहीं देख सका (शायद Pro संस्करण की आवश्यकता है?)। मुझे एक विकल्प खोजना था और मैंने इस विकल्प का शोषण करके ऐसा किया।

WPSCAN पृष्ठ: https://wpscan.com/vulnerability/578093db-a025-4148-8c4b-ec2df31743f7

6 नवंबर 2022 को अपडेट

परीक्षण के दौरान, मैंने देखा कि मैं एक अमान्य XML फ़ाइल अपलोड कर रहा था और यही कारण था कि यह "प्रबंधित आयात पृष्ठ" में दिखाई नहीं दे रही थी।

वैसे भी, सुरक्षित मोड को अक्षम करने का यह तरीका थोड़ा अधिक "गुप्त" है क्योंकि अपलोड की गई सामग्री प्रशासन पृष्ठ पर दिखाई नहीं देती है। यदि आप प्रशासन पृष्ठ पर अपलोड देखना चाहते हैं, तो अधिक चरणों की आवश्यकता है।

शोषण में कोई समस्या?

शोषण को प्रभावी ढंग से काम करने के लिए, कृपया निम्नलिखित पर विचार करें:

1. target_url और प्रशासक क्रेडेंशियल जांचें
2. ज़िप फ़ाइल का पथ और पेलोड का नाम जांचें (वे भिन्न हो सकते हैं)
3. यदि आप स्थानीय रूप से परीक्षण कर रहे हैं, तो verify_ssl_certificate को False पर सेट करने का प्रयास करें
4. आगे की जांच के लिए आप print_response(http_response) का उपयोग कर सकते हैं