一、概述
由于WordPress处理权限的方式存在缺陷,可能会导致WordPress插件中出现权限提升的问题。这一问题直接影响WooCommerce插件,这是一个更受欢迎的电子商务插件,其安装量已经超过400万。这一漏洞允许商店管理员删除服务器上的某些文件,同时能够接管任何管理员账户。
同步微信消息_同步微信登录不被发现软件
二、影响
我们发现并报告了WooCommerce中的文件删除漏洞,该漏洞已经在3.4.6版本中实现修复。在大多数情况下,任意文件删除漏洞都不被认为是关键问题,因为攻击者借助这一漏洞,最多只能删除网站的index.php,从而导致拒绝服务。本文详细说明了如何删除WordPress中的某些插件文件,从而禁用安全检查,然后导致攻击者完全接管网站。这一漏洞源自于WordPress特权系统中某些未修复的设计缺陷。目前,有400万WooCommerce商店受到这一漏洞影响。要实现攻击,只需要攻击者事先拥有一个商店经理的权限。商店经理是商店的员工,具有管理订单、产品和客户的权限。攻击者可以通过S漏洞或 *** 钓鱼攻击来获取此类权限,一旦利用这个漏洞,商店经理就可以接管任何管理员账户,然后在服务器上执行代码。演示视频:https://blog.ripstech.com/videos/wordpress-design-flaw.mp4
同步微信消息_同步微信登录不被发现软件
三、技术分析
3.1 漏洞位置
WordPress的权限控制方式是将不同的功能分配给不同角色。在定义商店经理角色之后,会为其分配edit_users功能,以便他们编辑商店中客人的帐户。这一过程,在插件的安装过程中进行。woocommerce/includes/class-wc-install.php:
// 商店经理角色
add_role(
'shop_manager', // 新角色的内部名称
'Shop manager', // 显示的标签
array( // 功能
⋮
'read_private_posts' => true,
'edit_users' => true,
'edit_posts' => true,
⋮
)
);同步微信消息_同步微信登录不被发现软件
然后,该角色将作为WordPress的核心设置,存储在数据库中。这意味着,此时用户角色已经独立于插件。即使插件处于非活动状态,用户也会存在。经过身份验证的用户每次尝试对另一个用户进行编辑时,都会调用current_user_can(),以确保只有特权用户才能执行该操作。调用current_user_can()的样例:
$target_user_id = $_GET['target_user_id'];
if(current_user_can('edit_user', $target_user_id)) {
edit_user($target_user_id);
}
其调用逻辑是:判断用户是否可以以ID为$target_user_id的身份尝试编辑特定用户。默认情况下,edit_users功能允许拥有这一权限的用户(例如商店经理)编辑任何用户,甚至包括管理员,同时也能够执行更新密码等操作。但出于安全原因,WooCommerce允许商店经理编辑仅具有客户角色的用户。因此,WooCommerce这类插件添加了米功能。米功能是以被current_user_can()调用的函数来实现的。米特权函数的返回值将决定当前用户是否可以执行该操作,因此它并不会简单地默认返回True。WooCommerce米特权过滤器的简化版本如下所示。米功能样例:
function disallow_editing_of_admins( $capability, $target_user_id ) {
// If the user is an admin return false and disallow the action
if($capability == "edit_user" && user_is_admin($target_user_id)) {
return false;
} else {
return true;
}
}同步微信消息_同步微信登录不被发现软件
add_filter( 'map_meta_cap', 'disallow_editing_of_admins');
例如,当调用current_user_can(‘edit_user’, 1)时,将执行过滤器,从而确定ID为1($target_user_id)的用户是否为admin。如果是,则禁止编辑操作,并返回False。否则,将会让用户继续下一步操作。针对WooCommerce,更复杂的米功能存储在第408行的woocommerce/includes/wc-user-functions.php中。
3.2 设计缺陷
尽管这些过滤器能实际工作,但只有当插件处于活动状态时才会执行。这里的关键在于,用户角色将存储在数据库中,即使禁用了插件,这些用户角色也会存在。这就意味着,如果由于某种原因WooCommerce被禁用,那么负责限制商店经理不能对管理员用户进行编辑的米权限检查将无法执行,WordPress将恢复到默认状态,即允许具有edit_users功能权限的用户编辑任何用户(包含管理员)。这样一来,就允许商店经理更新管理员帐户的密码,从而接管整个站点。
3.3 如何以商店经理身份禁用插件
默认情况下,只有管理员可以禁用插件。然而,我们发现的任意文件删除漏洞,允许商店经理删除服务器上任何可写的文件。假如以商店经理身份,删除WooCommerce的主文件woocommerce.php,那么WordPress将无法加载插件,随后会将其禁用。在WooCommerce的日志记录功能中出现了文件删除漏洞。日志以.log文件的形式,存储在wp-content目录中。当商店经理想要删除日志文件时,会将文件名作为GET参数提交。如下面的代码片段所示,这是一个不安全的处理方式。woocommerce/includes/admin/class-wc-admin-status.php:
class WC_Admin_Status{
public static function remove_log()
{
⋮同步微信消息_同步微信登录不被发现软件
$log_handler = new WC_Log_Handler_File();
$log_handler->remove(wp_unslash($_REQUEST['handle']));
}
woocommerce/includes/log-handlers/class-wc-log-handler-file.php:
class WC_Log_Handler_File extends WC_Log_Handler
{
public function remove($handle)
{
⋮
$file = trailingslashit(WC_LOG_DIR) . $handle;
⋮
unlink($file);
关键问题在于,当文件名($handle)被附加到Log目录(wp-content/wc-logs/)后,会被传递到unlink()。当设置$handle../../plugins/woocommerce-3.4.5/woocommerce.php文件时,wp-content/wc-logs/../../plugins/woocommerce-3.4.5/woocommerce.php文件将会被删除,从而导致WooCommerce被禁用。
我们使用SAST解决方案的RIPS自动检测到文件删除漏洞,相关报告请参考:http://demo.ripstech.com/projects/woocommerce_3.4.5/
同步微信消息_同步微信登录不被发现软件
四、时间节点
2018年8月30日 将任意文件删除漏洞报告给Hackerone的Automattic安全团队
2018年9月11日 该漏洞由安全团队进行分类和验证
2018年10月11日 补丁发布。
五、总结
在之前的文章中,我们演示了如何利用WordPress中的文件删除漏洞,以及如何将文件删除漏洞提升为远程代码执行漏洞。该 *** 的缺点是导致目标站点上的所有数据丢失。而本文中所提出的 *** 主要利用WordPress插件中的文件删除漏洞,针对米权限实现权限提升。这样的设计缺陷仍然存在。文件删除漏洞并不罕见,甚至有可能发生在WordPress的核心部分之中。在某些情况下,文件删除漏洞也可以通过Phar反序列化来利用。
» 到底是什么黑医院在手术中要求加价,而且还是患者在局部麻醉状态下缴费1.5万米,这简直是坑人的医院。医院手术中加价引起大家的关注,到底是什么原因医生要求患者在手术中加价,而且患者最后不得不去交钱来完...
怎么查对方的酒店入住(怎么查别人酒店的入住记录)专业盗取微信密码,开房查询,通话记录查询,查询微信聊天记录,非常靠谱!现在,随着人们生活水平的提高,越来越多的人开始旅行,开始学习享受生活。大多数人外出...
对于很多人来说,能够写一篇合格的文章,最关键的一个定义就是吸引很多的粉丝量,而且吸引很多的阅读量,这是一门技巧也是一门学问。只要是我们掌握住了就可以像是握住病毒一样那样可以合理式的宣传,很快就可以拥有...
11月14日中午,有网友在巴厘岛偶遇郭品超与一神秘女子正在海边拍摄婚纱照。据网友透露,郭品超和该女子在海边嬉戏打闹,举止十分亲密~ 照片中,郭品超身穿白色衬衫黑色西裤,走在酒店的木板路上还时不时...
微信如何定位好友位置,并且不让好友知道,当今,固然上网非常利便,但非常多小同伴秀都稀饭用少许小贴士。非常多人想晓得微信是否能隐秘定位密友地位,但连续没有人发掘。辣么该奈何做呢?咱们和小编一路来看看。微...
亚马逊家账户频招黑客入侵 资金去向不明!你可能需要知道这几点,这段光阴,受疫情影响,少许国际黑客首先躁动起来,任意动作。BI队长打听到,亚马逊近期向卖家发出告诫,片面卖家的账户大概被黑客入侵,这是一个...