mitigation-cve-2019-9787

POC

1. semplice xss :
2. semplice csrf: codice del sito web dell'attaccante--- https://github.com/kuangting4231/wordpress.github.io
3. csrf esecuzione remota di codice: codice del sito web dell'attaccante--- https://github.com/kuangting4231/assigment1.github.io

mitigazione

1. correggere il difetto logico nel processo di sanitizzazione per gli amministratori. aggiungere le due righe in /wp-admin/includes/ajax-actions.php e /wp-includes/comment.php(dettagli nel report) remove_filter( 'pre_comment_content', 'wp_filter_post_kses' ); add_filter( 'pre_comment_content', 'wp_filter_kses' );
2. http-only Per i cookie di sessione gestiti da PHP, il flag viene impostato in modo permanente in php.ini, manuale PHP su HttpOnly, tramite il parametro:

session.cookie_httponly = True

3. difesa basata su hash Il token di validazione CSRF non è stato implementato in WordPress perché, se fatto, ostacolerebbe le funzionalità di trackback e pingback di WordPress. Il server non può distinguere una richiesta CSRF illegale da una richiesta legittima PINGBACK/TRACEBACK, WordPress accetta automaticamente un commento senza token CSRF corretto come richiesta PINFBACK e TRACEBACK e filtra quel commento con un filtro white-list.

   Per difendersi da questa vulnerabilità CSRF, aggiungiamo un nuovo campo nel modulo chiamato hashnonce per verificare che il commento sia inviato da un amministratore. L'amministratore appone una firma sul valore del campo commento con il proprio cookie.

   La firma del valore del campo commento usa md5 per generare il valore hash (vedi grafico).

   Quando un amministratore tenta di adottare PINFBACK e TRACEBACK e _wp_unfiltered_html non può essere fornito, usiamo wp_verify_hashNonce. Se la validazione fallisce, viene segnalato un errore. Anche se la validazione ha successo, l'errore logico è stato corretto e "wp_filter_kses" verrà usato per filtrare i commenti.

   Codice modificato:

   1. comment-template: script js calcola e aggiunge lo script hashNonce;
   2. pluggable: script PHP aggiunto per verificare lo script hashNonce.
   3. comment: script PHP ha modificato la logica del processo di richiesta.

   il terzo metodo è tratto da https://github.com/sijiahi/Wordpress_cve-2019-9787_defense