wordpress 5.0.0 远程代码执行漏洞分析cve-2019-8943

秒速五厘米 2021-09-01 04:46 803阅读 0赞

近日，wordpress发布一个安全升级补丁，修复了一个WordPress核心中的远程代码执行漏洞。代码修改细节可以参考wordpress团队于Dec 13, 2018提交的代码。据漏洞披露者文中所介绍，这个漏洞在WordPress核心中被发现已经超过6年。

> [https://github.com/WordPress/WordPress/commit/7bd776bdb3f496898bba46959066c2c4aa8723d1\#diff-c3d5c535db5622f3b0242411ee5f9dfd][https_github.com_WordPress_WordPress_commit_7bd776bdb3f496898bba46959066c2c4aa8723d1_diff-c3d5c535db5622f3b0242411ee5f9dfd]

## 漏洞简介 ##

1、此漏洞是由目录遍历以及本地文件包含两部分组成。

2、想要利用此漏洞，需要在目标WordPress站点上拥有至少作者权限访问帐户。

## 漏洞分析 ##

这里主要分析CVE-2019-8943这处漏洞

首先看下目录遍历漏洞

首先上传一张图片

![format_png][]

图片会被wordpress保存至wp-content/uploads目录，但与此同时，在wp\_postmeta表中仍然会有该图片信息的记录，如下图

![format_png 1][]

在图片被编辑时

![format_png 2][]

会向wordpress后台发送如下post请求，如下图

![format_png 3][]

在处理post参数的过程中，有如下一处代码

![format_png 4][]

可以看到if条件中有一个方法：update\_post\_meta

![format_png 5][]

这个方法的作用是基于POST ID更新POST元字段，也就是说通过。$post\_ID, $field, $value来更新数据库中的信息  以下图为例

![format_png 6][]

此例中

$post_ID:4 
    $field: _wp_attached_file
    $value: 2019/02/Chrysanthemum-e1550648854385.jpg

在正常的修改图片操作中，$postarr\[meta\_input\]值会为空，但是可以构造payload使得篡改数据库中对应value的操作得以实现。

发送payload

![format_png 7][]

此时，$postarr\[meta\_input\]中的key与value被遍历取出，数据库中内容被篡改

![format_png 8][]

到此截止，我们已经成功的篡改了数据库中关于此图片文件的\_wp\_attached\_file值，但是也是仅仅更改了数据库中的记载，文件系统中存储的实际文件名没有改变，对应的仍然是grq.jpg

接下来要进行的是目录穿越，向其他目录写入这个jpg文件

目录穿越漏洞位于wp\_crop\_image方法中

![format_png 9][]

这个方法是用来剪裁图片。

需要注意的是，在wordpress中，如果直接在页面中点开一张图片，进行剪裁操作，如下图这样

![format_png 10][]

是根本不会调用wp\_crop\_image方法的。

这里一定要注意，我就是在这里被坑了很久

如果想触发漏洞，调用wp\_crop\_image方法，那么需要自己构造数据包。

当我们对图片进行剪裁变换等操作时，正常的数据包如下

![format_png 11][]

可以看到action=image-editor,

看下位于wp-admin\\admin-ajax.php中的$core\_actions\_post数组

![format_png 12][]

显而易见，想调用wp\_crop\_image方法，那action要为crop-image

构造数据包如下

![format_png 13][]

既然已经成功的进入了wp\_coce\_Image()方法，再来看看这个目录穿越是如何执行的。

当调用该函数时，函数首先调用get\_attached\_file方法中

![format_png 9][]

get\_attached\_file方法通过id 寻找存在数据库中 \_wp\_attached\_file字段的value如下图。

![format_png 14][]

这里需要提醒的是，\_wp\_attached\_file字段中的内容我们已经通过之前步骤成功改为我们的payload，然后get\_attached\_file方法会将\_wp\_attached\_file字段中的内容拼接$uploads\[‘basedir’\]作为图片的路径返回，这个路径会类似如下形式

![format_png 15][]

C:\\wamp64\\www\\wordpress4/wp-content/uploads/2019/022019/02/grq.jpg?../../evil.jpg

在得到了图片地址后

首先，wordpress将会直接加载这个地址，但显而易见，文件系统中根本无法找到这个文件。

当该方法失败后，WordPress将尝试从它自己的服务器下载图像。

如下图，在wp\_get\_attachment\_url方法中

![format_png 16][]

这时候的下载链接如下

> [http://127.0.0.1/wordpress4/wp-content/uploads/2019/02/grq.jpg?../../evil.jpg][http_127.0.0.1_wordpress4_wp-content_uploads_2019_02_grq.jpg_.._.._evil.jpg]

该URL由wp-content/uploads目录和由\_wp\_attached\_file条目所提供的文件名组成

当http协议解析这个url时，grq.jpg后面的内容会被忽略，也就是说，可以正常找到并访问该图，如下图

![format_png 17][]

接下来，wp\_coce\_Image()方法会将此文件保存，但是在保存时，并没有对传入的参数进行校验，导致了目录穿越的产生

首先，先通过mkdir建立目录

![format_png 18][]

其次，通过$editor->save将文件保存到生成目录中

![format_png 19][]

此时我们通过构造的payload修改数据库中内容，使得其如下图形式

![format_png 20][]

那么最终会在themes\\currentactivetheme目录中生成我们的jpg

例如cropped-evil.jpg,因为是通过剪裁后的图片，会有一个cropped前缀

接下来就是代码执行部分

WordPress的主题位于wp-content / themes目录中并为不同的案例提供模板文件。正常情况下，是无法通过web方式访问、写入此目录。但是截止此时，我们通过目录穿越，已经可以将我们的恶意图像文件插入此目录。然后通过加载这个themes，即可执行恶意构造好的图片payload，这个漏洞详情可CVE-2019-6977。 影响范围WordPress before 4.9.9 and 5.x before 5.0.1

![format_png 21][]

## 影响范围 ##

WordPress before 4.9.9 and 5.x before 5.0.1

[https_github.com_WordPress_WordPress_commit_7bd776bdb3f496898bba46959066c2c4aa8723d1_diff-c3d5c535db5622f3b0242411ee5f9dfd]: https://github.com/WordPress/WordPress/commit/7bd776bdb3f496898bba46959066c2c4aa8723d1#diff-c3d5c535db5622f3b0242411ee5f9dfd
[format_png]: /images/20210728/a87038fe41484ebaa8aeaf336858e13d.png
[format_png 1]: /images/20210728/fb7832b94edb446381b878d0567877e2.png
[format_png 2]: /images/20210728/7e84ba3ebe4d422786c457e0546eada4.png
[format_png 3]: /images/20210728/63ee56df4056491ba17aa0599ce05b37.png
[format_png 4]: /images/20210728/45909f3bd686432d82f182f21802ec43.png
[format_png 5]: /images/20210728/784fde06f4924d3094f9aebc6fa2161c.png
[format_png 6]: /images/20210728/5ae44515bebe42168838e898ff08f7b6.png
[format_png 7]: /images/20210728/8e63f3ebf03a4975b5e73944d66579e9.png
[format_png 8]: /images/20210728/16d575e90b6a4c9b80cac71d49a14c56.png
[format_png 9]: /images/20210728/3d3ea58c01e845b0ab85868de8259d00.png
[format_png 10]: /images/20210728/0887b519c06a47a98de489e19dddfa50.png
[format_png 11]: /images/20210728/34b9fa68a1b647588bbb7decc11a1e6f.png
[format_png 12]: /images/20210728/b97db0382d6345119cfe38cf83f5b8b8.png
[format_png 13]: /images/20210728/880e066f9015440eba52a9491cd79009.png
[format_png 14]: /images/20210728/4976de3cfd574c24a68171b33828d092.png
[format_png 15]: /images/20210728/dc052d0883de4120bd62013a2b18571d.png
[format_png 16]: /images/20210728/30963d81c211417aa129b5b2080a08c4.png
[http_127.0.0.1_wordpress4_wp-content_uploads_2019_02_grq.jpg_.._.._evil.jpg]: http://127.0.0.1/wordpress4/wp-content/uploads/2019/02/grq.jpg?../../evil.jpg
[format_png 17]: /images/20210728/14c8b4a4f6164583bfaa959b98c774f2.png
[format_png 18]: /images/20210728/0c6a84740c674a899b3237f5c0df690b.png
[format_png 19]: /images/20210728/9548f715e363432c9e121ff5088aed51.png
[format_png 20]: /images/20210728/357af21da60e47cc9328a38f0529db19.png
[format_png 21]: /images/20210728/22fd19767192442889dd1a8c8019dbc5.png