CVE-2024-28000 — WordPress LiteSpeed Cache 实验室

CVE-2024-28000 的授权本地实验复现，一个影响 LiteSpeed Cache WordPress 插件易受攻击版本的未认证权限提升问题。

范围： 本仓库记录了仅针对隔离的、个人控制的 WordPress 虚拟机所进行的测试。切勿将这些技术用于你不拥有或未经明确授权测试的系统。

结果

该漏洞已成功从 Kali 攻击虚拟机对运行 LiteSpeed Cache 6.2.0.1 的隔离 Ubuntu WordPress 目标进行端到端复现。

演示的攻击路径：

1. 枚举了 WordPress 目标及 LiteSpeed Cache 安装。
2. 访问了未经认证的 LiteSpeed 异步爬虫处理器。
3. 触发强制爬虫路径，从而生成易受攻击的角色模拟哈希。
4. 在本地生成了该易受攻击插件的确定性 1,000,000 候选项哈希空间。
5. 使用 ffuf 并以仅管理员可用的 REST 响应作为成功判定依据，远程恢复了有效的角色模拟哈希。
6. 通过 WordPress 用户 REST API 返回的 HTTP 200 确认了管理员上下文。
7. 通过 REST 创建了一次性管理员账户（HTTP 201 Created）。
8. 收集证据后删除了该一次性账户。
9. 此前的对照测试确认，LiteSpeed Cache 6.4 会以 HTTP 401 拒绝易受攻击的 Cookie 技术。

实验拓扑

在利用测试期间，目标被放置在无默认路由的 VMware Host-Only（仅主机）网络中。

目标技术栈

• Ubuntu Server 22.04
• Apache 2.4.52
• WordPress 7.1
• LiteSpeed Cache 6.2.0.1 — 易受攻击的测试状态
• LiteSpeed Cache 6.4 — 已修补的对照状态

关键发现

易受攻击的 LiteSpeed Cache 角色模拟哈希可在远程生成并恢复。将恢复出的哈希连同管理员用户 ID 一并提交后，WordPress 在无正常认证的 WordPress 会话的情况下以管理员上下文运行。

通过 WordPress REST API 创建持久化的一次性管理员账户，演示了该漏洞的影响。

仓库内容

.
├── README.md
├── REPORT.md
├── RUNBOOK.md
├── LICENSE
├── .gitignore
├── docs/
│   ├── architecture.md
│   ├── evidence-checklist.md
│   └── publication-redaction.md
├── scripts/
│   ├── generate_hashes.php
│   └── verify_candidate.sh
└── evidence/
    └── .gitkeep

负责任使用

本仓库旨在用于受控环境下的防御性安全教育、漏洞复现、修复验证以及作品集文档记录。