漏洞利用 — MegaQuagga 渗透测试报告

分析师： Samuel Weiss 组织： 0x2A Security 日期： 2026年4月20日 客户： MegaQuagga Publishing 目标： www.megaquagga.local 密级： 机密

概述

本项目记录了一次针对 MegaQuagga Publishing 网络环境的结构化渗透测试。本次测试确认了五个可被利用的漏洞，其中两个被链式利用，实现了未经身份验证的远程代码执行（RCE），并在目标主机上建立了持久的 Meterpreter 会话。

文件

范围

范围内：

• 主要目标：www.megaquagga.local
• 与 megaquagga.local 域名绑定的相关子域名
• Web 应用栈：WordPress CMS、Apache 2.4.38、PHP 运行时
• 活跃的 WordPress 插件

范围外 / 禁止操作：

• 第三方或共享托管系统
• 不分青红皂白的暴力破解攻击
• 未经明确书面批准的 DoS/DDoS 攻击
• 数据破坏、篡改或泄露
• 社会工程学或物理安全测试

六阶段方法论

发现

严重漏洞

F-01 — 通过 social-warfare 插件实现未经身份验证的 RCE（CVE-2019-9978）

• CVSS： 9.8 严重
• 插件版本： social-warfare v3.5.2（v3.5.3 已修复）
• 描述： 在将 POST 参数 swp_url 传递给服务端 eval() 函数之前未进行清理。未经身份验证的攻击者无需任何凭据即可执行任意 PHP 代码。
• 影响： 以 www-data 身份实现完全未经身份验证的 RCE；可读取 wp-config.php（数据库凭据）、所有托管文件，并提供网络跳板点。

F-02 — 通过 CVE-2023-4842 实现反向 Shell 传递与持久化

• CVSS： 9.8 严重
• 描述： 与 F-01 链式利用，传递反向 Shell 载荷，建立出站 TCP 连接，绕过入站防火墙规则。
• 影响： 稳定、持久的 Meterpreter 会话。支持文件系统访问、进程迁移和凭据收集。能在短暂网络中断后存活。

其他漏洞（中危–高危）

• 缺少 HTTPS — 仅在 TCP/80 上提供未加密的 HTTP 服务
• 暴露的 XML-RPC 接口 — 存在凭据枚举和暴力破解风险
• 默认 WordPress 文件暴露及通过作者页面泄露用户名

攻击链摘要

[攻击者] → CVE-2019-9978（swp_url 注入）
           → 服务端执行 PHP 载荷
           → CVE-2023-4842（反向 Shell 传递）
           → 以 www-data 身份建立 Meterpreter 会话
           → 可读取 wp-config.php、所有托管文件，可能进行横向移动

确认的访问级别： www-data Web 服务器用户，位于 megaquagga-web（Ubuntu x86_64）

修复建议

GitHub 描述

MegaQuagga Publishing 的渗透测试报告，记录了一次六阶段测试，通过链式利用 CVE-2019-9978 和 CVE-2023-4842 实现了未经身份验证的远程代码执行和持久的 Meterpreter 会话。包含完整方法论、利用证据以及按优先级排序的修复建议。