📋 취약점 개요

🧠 기술적 설명

WordPress용 Backup Migration 플러그인은 버전 1.3.7까지 /includes/backup-heart.php 파일을 통해 원격 코드 실행에 취약합니다.

이 취약점은 공격자가 Content-Dir HTTP 헤더를 통해 PHP include 문에 전달되는 값을 제어할 수 있기 때문에 존재합니다. PHP 필터 체인을 활용하면 공격자는 인증 없이 임의의 PHP 코드를 주입하여 서버에서 완전한 원격 코드 실행을 달성할 수 있습니다.

사례 연구

https://medium.com/@phantom_hat/cve-2023-6553-wordpress-backup-migration-1-3-7-case-study-31cb8275274b

공격 흐름

┌──────────┐    Content-Dir Header    ┌──────────────────────┐    include()    ┌──────────┐
│ Attacker │ ──── PHP Filter Chain ──▶│  backup-heart.php    │ ──────────────▶ │   RCE    │
│          │    (no auth needed)      │  (vulnerable file)   │                 │  on Host │
└──────────┘                          └──────────────────────┘                 └──────────┘

1. 정찰 — readme.txt를 통해 설치된 플러그인 버전 탐지
2. 페이로드 생성 — 임의의 PHP 코드로 해석되는 PHP 필터 체인 구성
3. 익스플로잇 전달 — 취약한 엔드포인트에 Content-Dir 헤더로 구성된 체인 전송
4. 명령 실행 — 배포된 웹쉘을 통해 OS 명령 실행

🗂️ 저장소 구조

.
├── exploit.py              # 🎯 깔끔하고 전문적인 익스플로잇 (자세한 출력 모드 지원)
├── fancy_exploit.py        # ✨ 화려한 버전 — 동일한 익스플로잇, 더 나은 분위기
├── php_filter_chain.py     # 🔗 PHP 필터 체인 생성기 모듈
└── README.md               # 📖 지금 보고 계신 파일입니다

exploit.py — 전문 익스플로잇

보안 평가 및 사례 연구에서 전문적으로 사용하도록 설계된 기본적이고 깔끔한 익스플로잇 스크립트입니다. 특징:

• Rich를 사용한 깔끔하고 구조화된 터미널 출력
• 단계별 실행 (정찰 → 페이로드 → 전달 → 실행)
• 자세한 운영 출력을 위한 자세한 모드 (-v)
• 취약점 확인 전용 모드 (-C)
• 완료 시 익스플로잇 요약 테이블 제공

fancy_exploit.py — 화려한 버전 ✨

동일한 익스플로잇에 개성을 더한 표현적인 버전입니다. exploit.py와 기능적으로 동일하지만 훨씬 화려한 프레젠테이션을 제공합니다:

• 🎨 화려한 무지개 스타일 터미널 출력
• 🎭 무작위 카오모지 반응 (성공, 실패, 공격 표정)
• 🖼️ ASCII 아트 배너
• 💎 이모지 강화 로깅 (💀 오류, ✨ 성공, 🔥 공격 단계)
• 📊 이모지 표시기가 포함된 스타일리시한 미션 보고서 요약

참고: 두 스크립트는 동일한 공격 로직을 공유합니다 — fancy_exploit.py는 단순히 더 시각적으로 표현적인 출력 레이어로 경험을 감싸줍니다.

⚙️ 설치

사전 요구 사항

• Python 3.8+
• pip 패키지 관리자

설정

# 저장소 클론
git clone https://github.com/<your-username>/CVE-2023-6553.git
cd CVE-2023-6553

# 의존성 설치
pip install -r requirements.txt

참고: php_filter_chain.py는 저장소에 포함된 로컬 모듈입니다 — 추가 설치가 필요하지 않습니다.

🚀 사용법

exploit.py

# 대상이 취약한지 확인 (정찰만)
python3 exploit.py -u http://target.com -C

# 익스플로잇 및 명령 실행
python3 exploit.py -u http://target.com -c id

# 먼저 취약점 확인 후 익스플로잇
python3 exploit.py -u http://target.com -C -c whoami

# 자세한 출력을 위한 verbose 모드
python3 exploit.py -u http://target.com -c id -v

fancy_exploit.py

# 대상이 취약한지 확인
python3 fancy_exploit.py -u http://target.com -C

# 익스플로잇 및 명령 실행
python3 fancy_exploit.py -u http://target.com -c id

# 먼저 확인 후 취약하면 익스플로잇
python3 fancy_exploit.py -u http://target.com -C -c whoami

명령줄 플래그

📸 익스플로잇 단계

🔗 참고 자료

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-6553
• Wordfence 권고: https://www.wordfence.com/threat-intel/vulnerabilities/id/3511ba64-56a3-43d7-8ab8-c6e40e3b686e
• 취약한 소스 코드 (L118): https://plugins.trac.wordpress.org/browser/backup-backup/tags/1.3.7/includes/backup-heart.php#L118
• PHP 필터 체인 (Synacktiv): https://www.synacktiv.com/en/publications/php-filters-chain-what-is-it-and-how-to-use-it
• PacketStorm: http://packetstormsecurity.com/files/176638/WordPress-Backup-Migration-1.3.7-Remote-Command-Execution.html
• 패치 변경셋: https://plugins.trac.wordpress.org/changeset?old=3006541%40backup-backup&new=3006541%40backup-backup

🛡️ 해결 방법

• 업데이트: Backup Migration 플러그인을 1.3.8 이상 버전으로 업데이트합니다
• 제거: 플러그인이 활성 상태로 사용되지 않으면 완전히 제거합니다
• 구현: 의심스러운 Content-Dir 헤더를 차단하는 웹 애플리케이션 방화벽(WAF) 규칙을 구현합니다
• 감사: 서버 로그에서 이전 악용 흔적을 확인합니다

⚠️ 면책 조항

이 도구는 허가된 보안 테스트 및 교육 목적으로만 제공됩니다.

컴퓨터 시스템에 대한 무단 접근은 컴퓨터 사기 및 남용 법률(CFAA), 컴퓨터 남용법 및 전 세계 유사 법률에 따라 불법입니다. 저자는 이 소프트웨어의 오용에 대해 어떠한 책임도 지지 않습니다.

소유했거나 명시적 서면 승인을 받은 시스템에 대해서만 이 도구를 사용하십시오.