CVE-2023-6063 — PoC SQL-инъекции в WP Fastest Cache

Proof of Concept (PoC) для CVE-2023-6063 — неаутентифицированной слепой SQL-инъекции на основе времени, затрагивающей WP Fastest Cache ≤ 1.2.2.

Уязвимость может быть вызвана через cookie wordpress_logged_in и позволяет злоумышленнику извлекать конфиденциальную информацию из базы данных WordPress, включая хеши паролей и адреса электронной почты.

Только для авторизованного тестирования безопасности и в образовательных целях.

Возможности

• Тестирование слепой SQL-инъекции на основе времени.

• Построчное извлечение данных с использованием задержек SQL SLEEP().

• Нацеливание на конкретное имя пользователя WordPress.

• Опциональная проверка хеша пароля.

• Опциональное извлечение адреса электронной почты.

• Поддержка пользовательских cookie.

• Настраиваемая задержка ответа.

• Режим отладки для устранения неполадок.

• Выборочное извлечение с помощью:

  • --just-hash
  • --just-email

Данные, которые можно извлечь

В зависимости от конфигурации цели и содержимого базы данных PoC может извлечь:

• Хеши паролей WordPress из wp_users.user_pass.
• Связанные адреса электронной почты из wp_users.user_email.

Требования

• Python 3.x
• Цель, на которой запущена уязвимая версия WP Fastest Cache.
• Сетевая доступность цели.
• Разрешение на проведение тестирования безопасности.

Установите необходимые зависимости Python:

pip install -r requirements.txt

Использование

Базовое использование

python3 poc.py -u https://vulnerable-website.example --username admin --delay 5

Замените пример URL на систему, которую вы явно уполномочены тестировать.

Параметры командной строки

-h, --help
    Показать справочное сообщение и выйти.

-u URL, --url URL
    Полный URL установки WordPress для тестирования.

--username USERNAME
    Указать имя пользователя WordPress, информацию о котором следует проверить.

-d DELAY, --delay DELAY
    Задержка ответа, используемая для тестирования на основе времени.
    По умолчанию: 5 секунд.
    Минимум: 2 секунды.

-H HASH, --hash HASH
    Хеш для проверки по таблице wp_users.
    Если хеш содержит специальные символы, заключите его в одинарные кавычки.

--domain DOMAIN
    Домен, используемый для проверки электронной почты.

-c COOKIE, --cookie COOKIE
    Указать пользовательское имя cookie, если цель использует другой контекст.

--status-code STATUS_CODE
    Указать ожидаемый положительный HTTP-код состояния.
    По умолчанию: 200.

--debug
    Включить дополнительный отладочный вывод.

--just-hash
    Извлечь только хеш пароля.

--just-email
    Извлечь только адрес электронной почты.

Технические детали

Описание уязвимости

CVE-2023-6063 затрагивает версии WP Fastest Cache ≤ 1.2.2.

Уязвимость представляет собой неаутентифицированную слепую SQL-инъекцию, которая может быть вызвана через cookie wordpress_logged_in.

Проблема может быть использована для выполнения инференции на основе времени по базе данных WordPress. Измеряя различия во времени HTTP-ответов, можно потенциально вывести отдельные символы значений базы данных, не получая напрямую запрошенные данные в HTTP-ответе.

Упрощённый пример лежащей в основе техники:

" AND (IF(
    (SELECT user_pass
     FROM wp_users
     WHERE user_login="admin") LIKE 'a%',
    SLEEP(5),
    0
))-- -

Если проверяемое условие истинно, база данных вносит задержку. Повторение этого процесса с разными символами позволяет выводить информацию символ за символом.

Информация об уязвимости

Вектор атаки

Эксплуатируемость

• Удалённо: Уязвимость может быть вызвана через HTTP-запросы.
• Аутентификация: Для вызова уязвимости аутентификация WordPress не требуется.
• Сложность: Относительно низкая при наличии уязвимых условий.

Потенциальное воздействие

К потенциально раскрываемой информации относятся хеши паролей пользователей WordPress и адреса электронной почты.

Демонстрация

Следующая демонстрация показывает использование PoC против авторизованной тестовой среды:

Анализ хеша пароля

Когда хеш пароля WordPress был законно получен в ходе авторизованной оценки безопасности, для оценки стойкости пароля можно использовать инструменты аудита паролей, такие как John the Ripper или Hashcat.

Например, с John the Ripper:

john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt --format=phpass

Выполняйте аудит паролей только в отношении хешей, которыми вы уполномочены владеть и тестировать.

Уязвимые версии

WP Fastest Cache:

≤ 1.2.2

Меры защиты

Рекомендуемая мера защиты — обновить WP Fastest Cache до версии, содержащей исправление безопасности.

Дополнительные защитные меры включают:

1. Поддерживайте плагины WordPress в актуальном состоянии.
2. Удаляйте плагины, которые больше не нужны.
3. Разверните соответствующие правила WAF для обнаружения и блокировки попыток SQL-инъекций.
4. Отслеживайте подозрительные запросы, содержащие SQL-синтаксис в HTTP-cookie.
5. Проверьте учётные записи и учётные данные пользователей WordPress после предполагаемой компрометации.
6. Своевременно меняйте потенциально скомпрометированные учётные данные.

Рекомендуется: Обновить WP Fastest Cache до 1.2.3 или более поздней версии.

Ссылки

• NIST NVD — CVE-2023-6063
• WordPress Plugin — WP Fastest Cache
• CVE Details — CVE-2023-6063

Правовая оговорка

Этот проект предоставляется исключительно в образовательных целях и для авторизованных исследований безопасности.

Не используйте этот PoC против систем, веб-сайтов, приложений или инфраструктуры без явного разрешения владельца.

Автор не несёт ответственности за неправомерное использование, ущерб, потерю данных, несанкционированный доступ или любые другие последствия, возникшие в результате использования этого программного обеспечения.

Тестируйте только те системы, которыми вы владеете или на оценку которых у вас есть явное разрешение.

Лицензия

Этот проект выпущен под GNU General Public License v3.0 (GPLv3).