Wordpress
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9fbb29e6&sv=1)
Use Trickest to easily build and automate workflows powered by the world's most advanced community tools. Get Access Today:
Basic Information
Uploaded files go to: http://10.10.10.10/wp-content/uploads/2018/08/a.txt
Τα αρχεία θεμάτων μπορούν να βρεθούν στο /wp-content/themes/, οπότε αν αλλάξετε κάποιο php του θέματος για να αποκτήσετε RCE, πιθανότατα θα χρησιμοποιήσετε αυτή τη διαδρομή. Για παράδειγμα: Χρησιμοποιώντας θέμα twentytwelve μπορείτε να έχετε πρόσβαση στο 404.php αρχείο στο: /wp-content/themes/twentytwelve/404.php
Μια άλλη χρήσιμη διεύθυνση URL θα μπορούσε να είναι: /wp-content/themes/default/404.php
Στο wp-config.php μπορείτε να βρείτε τον κωδικό πρόσβασης root της βάσης δεδομένων.
Διαδρομές σύνδεσης προεπιλογής για έλεγχο: /wp-login.php, /wp-login/, /wp-admin/, /wp-admin.php, /login/
Κύρια Αρχεία WordPress
index.php
license.txt
περιέχει χρήσιμες πληροφορίες όπως την έκδοση του WordPress που είναι εγκατεστημένη.wp-activate.php
χρησιμοποιείται για τη διαδικασία ενεργοποίησης μέσω email κατά την εγκατάσταση ενός νέου ιστότοπου WordPress.Φάκελοι σύνδεσης (μπορεί να έχουν μετονομαστεί για να κρυφτούν):
/wp-admin/login.php
/wp-admin/wp-login.php
/login.php
/wp-login.php
xmlrpc.php
είναι ένα αρχείο που αντιπροσωπεύει μια δυνατότητα του WordPress που επιτρέπει τη μετάδοση δεδομένων με HTTP που λειτουργεί ως μηχανισμός μεταφοράς και XML ως μηχανισμός κωδικοποίησης. Αυτός ο τύπος επικοινωνίας έχει αντικατασταθεί από το WordPress REST API.Ο φάκελος
wp-content
είναι ο κύριος κατάλογος όπου αποθηκεύονται τα πρόσθετα και τα θέματα.wp-content/uploads/
Είναι ο κατάλογος όπου αποθηκεύονται οποιαδήποτε αρχεία έχουν ανέβει στην πλατφόρμα.wp-includes/
Αυτός είναι ο κατάλογος όπου αποθηκεύονται τα βασικά αρχεία, όπως πιστοποιητικά, γραμματοσειρές, αρχεία JavaScript και widgets.wp-sitemap.xml
Στις εκδόσεις WordPress 5.5 και μεγαλύτερες, το WordPress δημιουργεί ένα αρχείο sitemap XML με όλες τις δημόσιες αναρτήσεις και τους δημόσια ερωτήσιμους τύπους αναρτήσεων και ταξινομήσεις.
Μετά την εκμετάλλευση
Το αρχείο
wp-config.php
περιέχει πληροφορίες που απαιτούνται από το WordPress για να συνδεθεί στη βάση δεδομένων, όπως το όνομα της βάσης δεδομένων, ο διακομιστής της βάσης δεδομένων, το όνομα χρήστη και τον κωδικό πρόσβασης, τα κλειδιά και τα άλατα αυθεντικοποίησης και το πρόθεμα του πίνακα της βάσης δεδομένων. Αυτό το αρχείο ρύθμισης μπορεί επίσης να χρησιμοποιηθεί για την ενεργοποίηση της λειτουργίας DEBUG, η οποία μπορεί να είναι χρήσιμη στην αποσφαλμάτωση.
Users Permissions
Διαχειριστής
Συντάκτης: Δημοσιεύει και διαχειρίζεται τις δικές του και άλλες αναρτήσεις
Συγγραφέας: Δημοσιεύει και διαχειρίζεται τις δικές του αναρτήσεις
Συμβολαιογράφος: Γράφει και διαχειρίζεται τις αναρτήσεις του αλλά δεν μπορεί να τις δημοσιεύσει
Συνδρομητής: Περιηγείται στις αναρτήσεις και επεξεργάζεται το προφίλ του
Passive Enumeration
Get WordPress version
Check if you can find the files /license.txt
or /readme.html
Inside the source code of the page (example from https://wordpress.org/support/article/pages/):
grep
meta name
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-50bf07ade58e70bab23a0cca05204a1bd07b8b2d%252Fimage%2520%281111%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=aa1fb69e&sv=1)
CSS link files
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-82a942408ce69ff92471e41f0d334db258a87bb2%252Fimage%2520%28533%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=abb671cf&sv=1)
JavaScript files
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-cd734fb04458eb19f18f9a1df50c912d69743da1%252Fimage%2520%28524%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=62ee921e&sv=1)
Λάβετε Πρόσθετα
Λάβετε Θέματα
Εξαγωγή εκδόσεων γενικά
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9fbb29e6&sv=1)
Χρησιμοποιήστε Trickest για να δημιουργήσετε και να αυτοματοποιήσετε ροές εργασίας με τη βοήθεια των πιο προηγμένων εργαλείων της κοινότητας. Αποκτήστε πρόσβαση σήμερα:
Ενεργή αρίθμηση
Πρόσθετα και Θέματα
Πιθανότατα δεν θα μπορέσετε να βρείτε όλα τα πρόσθετα και τα θέματα που είναι δυνατά. Για να τα ανακαλύψετε όλα, θα χρειαστεί να εκτελέσετε ενεργά Brute Force μια λίστα από πρόσθετα και θέματα (ελπίζουμε για εμάς ότι υπάρχουν αυτοματοποιημένα εργαλεία που περιέχουν αυτές τις λίστες).
Χρήστες
ID Brute
Αποκτάτε έγκυρους χρήστες από έναν ιστότοπο WordPress εκτελώντας Brute Force στους αναγνωριστικούς χρήστες:
Αν οι απαντήσεις είναι 200 ή 30X, αυτό σημαίνει ότι το id είναι έγκυρο. Αν η απάντηση είναι 400, τότε το id είναι άκυρο.
wp-json
Μπορείτε επίσης να προσπαθήσετε να αποκτήσετε πληροφορίες σχετικά με τους χρήστες κάνοντας ερώτηση:
Ένα άλλο /wp-json/
endpoint που μπορεί να αποκαλύψει κάποιες πληροφορίες σχετικά με τους χρήστες είναι:
Σημειώστε ότι αυτό το endpoint εκθέτει μόνο χρήστες που έχουν κάνει μια ανάρτηση. Μόνο πληροφορίες σχετικά με τους χρήστες που έχουν ενεργοποιήσει αυτή τη δυνατότητα θα παρέχονται.
Επίσης σημειώστε ότι /wp-json/wp/v2/pages θα μπορούσε να διαρρεύσει διευθύνσεις IP.
Καταμέτρηση ονομάτων χρηστών σύνδεσης
Όταν συνδέεστε στο /wp-login.php
, το μήνυμα είναι διαφορετικό αν το όνομα χρήστη υπάρχει ή όχι.
XML-RPC
Εάν το xml-rpc.php
είναι ενεργό, μπορείτε να εκτελέσετε brute-force πιστοποιητικών ή να το χρησιμοποιήσετε για να εκκινήσετε επιθέσεις DoS σε άλλους πόρους. (Μπορείτε να αυτοματοποιήσετε αυτή τη διαδικασία χρησιμοποιώντας αυτό για παράδειγμα).
Για να δείτε αν είναι ενεργό, προσπαθήστε να αποκτήσετε πρόσβαση στο /xmlrpc.php και στείλτε αυτό το αίτημα:
Έλεγχος
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fh3llwings.files.wordpress.com%2F2019%2F01%2Flist-of-functions.png%3Fw%3D656&width=768&dpr=4&quality=100&sign=788583b9&sv=1)
Διαπιστευτήρια Bruteforce
wp.getUserBlogs
, wp.getCategories
ή metaWeblog.getUsersBlogs
είναι μερικές από τις μεθόδους που μπορούν να χρησιμοποιηθούν για brute-force διαπιστευτηρίων. Αν μπορέσετε να βρείτε οποιαδήποτε από αυτές, μπορείτε να στείλετε κάτι σαν:
Το μήνυμα "Λάθος όνομα χρήστη ή κωδικός" μέσα σε μια απάντηση κωδικού 200 θα πρέπει να εμφανίζεται αν τα διαπιστευτήρια δεν είναι έγκυρα.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-87fc7beeae571cb15445d9dcb13b6841933c0ce7%252Fimage%2520%28721%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c2558c01&sv=1)
Χρησιμοποιώντας τα σωστά διαπιστευτήρια μπορείτε να ανεβάσετε ένα αρχείο. Στην απάντηση, η διαδρομή θα εμφανίζεται (https://gist.github.com/georgestephanis/5681982)
Επίσης, υπάρχει ένας ταχύτερος τρόπος για να κάνετε brute-force τα διαπιστευτήρια χρησιμοποιώντας system.multicall
καθώς μπορείτε να δοκιμάσετε αρκετά διαπιστευτήρια στην ίδια αίτηση:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-e0eebcc35136b55d285190584c890de34cb4ce31%252Fimage%2520%28628%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c9fec4d1&sv=1)
Παράκαμψη 2FA
Αυτή η μέθοδος προορίζεται για προγράμματα και όχι για ανθρώπους, και είναι παλιά, επομένως δεν υποστηρίζει 2FA. Έτσι, αν έχετε έγκυρα διαπιστευτήρια αλλά η κύρια είσοδος προστατεύεται από 2FA, μπορείτε να εκμεταλλευτείτε το xmlrpc.php για να συνδεθείτε με αυτά τα διαπιστευτήρια παρακάμπτοντας το 2FA. Σημειώστε ότι δεν θα μπορείτε να εκτελέσετε όλες τις ενέργειες που μπορείτε να κάνετε μέσω της κονσόλας, αλλά μπορεί να μπορείτε να φτάσετε σε RCE όπως το εξηγεί ο Ippsec στο https://www.youtube.com/watch?v=p8mIdm93mfw&t=1130s
DDoS ή σάρωση θυρών
Αν μπορείτε να βρείτε τη μέθοδο pingback.ping μέσα στη λίστα, μπορείτε να κάνετε το Wordpress να στείλει μια αυθαίρετη αίτηση σε οποιονδήποτε host/port. Αυτό μπορεί να χρησιμοποιηθεί για να ζητήσετε χιλιάδες Wordpress ιστοσελίδες να προσεγγίσουν μία τοποθεσία (έτσι προκαλείται ένα DDoS σε αυτή την τοποθεσία) ή μπορείτε να το χρησιμοποιήσετε για να κάνετε το Wordpress να σκανάρει κάποιο εσωτερικό δίκτυο (μπορείτε να υποδείξετε οποιαδήποτε θύρα).
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-aea4b23cdd94102884b2c4c8d3a1a3f95a65065f%252F1_JaUYIZF8ZjDGGB7ocsZC-g.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=7159d77e&sv=1)
Αν λάβετε faultCode με τιμή μεγαλύτερη από 0 (17), σημαίνει ότι η θύρα είναι ανοιχτή.
Ρίξτε μια ματιά στη χρήση του system.multicall
στην προηγούμενη ενότητα για να μάθετε πώς να εκμεταλλευτείτε αυτή τη μέθοδο για να προκαλέσετε DDoS.
DDoS
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-f6954fe287e981515a934d460113bd273380fc47%252Fimage%2520%28110%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=fbf41c6e&sv=1)
wp-cron.php DoS
Αυτό το αρχείο συνήθως υπάρχει κάτω από τη ρίζα της ιστοσελίδας Wordpress: /wp-cron.php
Όταν αυτό το αρχείο είναι προσβάσιμο, εκτελείται ένα "βαρύ" MySQL query, οπότε θα μπορούσε να χρησιμοποιηθεί από επιτιθέμενους για να προκαλέσει μια DoS.
Επίσης, από προεπιλογή, το wp-cron.php
καλείται σε κάθε φόρτωση σελίδας (κάθε φορά που ένας πελάτης ζητά οποιαδήποτε σελίδα Wordpress), το οποίο σε ιστοσελίδες με υψηλή κίνηση μπορεί να προκαλέσει προβλήματα (DoS).
Συνιστάται να απενεργοποιήσετε το Wp-Cron και να δημιουργήσετε ένα πραγματικό cronjob μέσα στον διακομιστή που να εκτελεί τις απαραίτητες ενέργειες σε τακτά χρονικά διαστήματα (χωρίς να προκαλεί προβλήματα).
/wp-json/oembed/1.0/proxy - SSRF
Δοκιμάστε να αποκτήσετε πρόσβαση στο https://worpress-site.com/wp-json/oembed/1.0/proxy?url=ybdk28vjsa9yirr7og2lukt10s6ju8.burpcollaborator.net και η ιστοσελίδα Worpress μπορεί να σας κάνει ένα αίτημα.
Αυτή είναι η απάντηση όταν δεν λειτουργεί:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-4f397783c2051b0d7102974efba93862fb6e7bcf%252Fimage%2520%28365%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8373d5d2&sv=1)
SSRF
Αυτό το εργαλείο ελέγχει αν το methodName: pingback.ping και για τη διαδρομή /wp-json/oembed/1.0/proxy και αν υπάρχει, προσπαθεί να τα εκμεταλλευτεί.
Automatic Tools
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9fbb29e6&sv=1)
Χρησιμοποιήστε Trickest για να δημιουργήσετε και να αυτοματοποιήσετε ροές εργασίας με τη βοήθεια των πιο προηγμένων εργαλείων της κοινότητας. Αποκτήστε πρόσβαση σήμερα:
Αποκτήστε πρόσβαση αντικαθιστώντας ένα bit
Περισσότερο από μια πραγματική επίθεση, αυτό είναι μια περιέργεια. Στο CTF https://github.com/orangetw/My-CTF-Web-Challenges#one-bit-man μπορείτε να αλλάξετε 1 bit από οποιοδήποτε αρχείο wordpress. Έτσι, μπορείτε να αλλάξετε τη θέση 5389
του αρχείου /var/www/html/wp-includes/user.php
για να NOP την NOT (!
) λειτουργία.
Panel RCE
Τροποποίηση ενός php από το θέμα που χρησιμοποιείται (απαιτούνται διαπιστευτήρια διαχειριστή)
Εμφάνιση → Επεξεργαστής Θέματος → Πρότυπο 404 (στα δεξιά)
Αλλάξτε το περιεχόμενο για ένα php shell:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-34081bf3a78aa2c1f724d60200556e1d57234101%252Fimage%2520%28384%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=84112cf1&sv=1)
Αναζητήστε στο διαδίκτυο πώς μπορείτε να αποκτήσετε πρόσβαση σε αυτή τη σελίδα που έχει ενημερωθεί. Σε αυτή την περίπτωση, πρέπει να αποκτήσετε πρόσβαση εδώ: http://10.11.1.234/wp-content/themes/twentytwelve/404.php
MSF
Μπορείτε να χρησιμοποιήσετε:
to get a session.
Plugin RCE
PHP plugin
Ενδέχεται να είναι δυνατή η μεταφόρτωση αρχείων .php ως plugin. Δημιουργήστε το php backdoor σας χρησιμοποιώντας για παράδειγμα:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-d16665578087eeeeabbc220c92bac5d7569bc787%252Fimage%2520%28183%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=321bbeb1&sv=1)
Στη συνέχεια, προσθέστε ένα νέο plugin:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-8668dea5b059b1fc486cb53cde1d8d65b849a027%252Fimage%2520%28722%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f59e836d&sv=1)
Μεταφορτώστε το plugin και πατήστε Εγκατάσταση Τώρα:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-12c26ff94b8d74da8199129602062d6b390dfae5%252Fimage%2520%28249%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=24865e43&sv=1)
Κάντε κλικ στο Προχώρα:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-a18257e302f3bae245bef01690197799da17fdb7%252Fimage%2520%2870%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f48906c7&sv=1)
Πιθανώς αυτό δεν θα κάνει τίποτα φαινομενικά, αλλά αν πάτε στα Μέσα, θα δείτε το shell σας να έχει μεταφορτωθεί:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-5d706c741824ed569e0401c561099cb720ae1a49%252Fimage%2520%28462%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=b6e420af&sv=1)
Αποκτήστε πρόσβαση σε αυτό και θα δείτε τη διεύθυνση URL για να εκτελέσετε το reverse shell:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-56a77483c7b7c56d4c76d92502ca78fb0a77667d%252Fimage%2520%281006%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=2582101d&sv=1)
Uploading and activating malicious plugin
Αυτή η μέθοδος περιλαμβάνει την εγκατάσταση ενός κακόβουλου plugin που είναι γνωστό ότι είναι ευάλωτο και μπορεί να εκμεταλλευτεί για να αποκτήσει ένα web shell. Αυτή η διαδικασία πραγματοποιείται μέσω του πίνακα ελέγχου του WordPress ως εξής:
Plugin Acquisition: Το plugin αποκτάται από μια πηγή όπως το Exploit DB όπως εδώ.
Plugin Installation:
Μεταβείτε στον πίνακα ελέγχου του WordPress, στη συνέχεια πηγαίνετε στο
Dashboard > Plugins > Upload Plugin
.Μεταφορτώστε το αρχείο zip του κατεβασμένου plugin.
Plugin Activation: Μόλις το plugin εγκατασταθεί επιτυχώς, πρέπει να ενεργοποιηθεί μέσω του πίνακα ελέγχου.
Exploitation:
Με το plugin "reflex-gallery" εγκατεστημένο και ενεργοποιημένο, μπορεί να εκμεταλλευτεί καθώς είναι γνωστό ότι είναι ευάλωτο.
Το Metasploit framework παρέχει μια εκμετάλλευση για αυτήν την ευπάθεια. Φορτώνοντας το κατάλληλο module και εκτελώντας συγκεκριμένες εντολές, μπορεί να δημιουργηθεί μια συνεδρία meterpreter, παρέχοντας μη εξουσιοδοτημένη πρόσβαση στον ιστότοπο.
Σημειώνεται ότι αυτή είναι μόνο μία από τις πολλές μεθόδους για να εκμεταλλευτείτε έναν ιστότοπο WordPress.
Το περιεχόμενο περιλαμβάνει οπτικά βοηθήματα που απεικονίζουν τα βήματα στον πίνακα ελέγχου του WordPress για την εγκατάσταση και την ενεργοποίηση του plugin. Ωστόσο, είναι σημαντικό να σημειωθεί ότι η εκμετάλλευση ευπαθειών με αυτόν τον τρόπο είναι παράνομη και ανήθικη χωρίς την κατάλληλη εξουσιοδότηση. Αυτές οι πληροφορίες θα πρέπει να χρησιμοποιούνται υπεύθυνα και μόνο σε νομικό πλαίσιο, όπως η δοκιμή διείσδυσης με ρητή άδεια.
Για πιο λεπτομερή βήματα ελέγξτε: https://www.hackingarticles.in/wordpress-reverse-shell/
From XSS to RCE
WPXStrike: WPXStrike είναι ένα script σχεδιασμένο να κλιμακώνει μια Cross-Site Scripting (XSS) ευπάθεια σε Remote Code Execution (RCE) ή άλλες κρίσιμες ευπάθειες στο WordPress. Για περισσότερες πληροφορίες ελέγξτε αυτή την ανάρτηση. Παρέχει υποστήριξη για τις εκδόσεις Wordpress 6.X.X, 5.X.X και 4.X.X και επιτρέπει να:
Privilege Escalation: Δημιουργεί έναν χρήστη στο WordPress.
(RCE) Custom Plugin (backdoor) Upload: Μεταφορτώστε το προσαρμοσμένο plugin (backdoor) σας στο WordPress.
(RCE) Built-In Plugin Edit: Επεξεργαστείτε τα ενσωματωμένα plugins στο WordPress.
(RCE) Built-In Theme Edit: Επεξεργαστείτε τα ενσωματωμένα θέματα στο WordPress.
(Custom) Custom Exploits: Προσαρμοσμένες εκμεταλλεύσεις για τρίτα plugins/θέματα WordPress.
Post Exploitation
Extract usernames and passwords:
Αλλαγή κωδικού πρόσβασης διαχειριστή:
Wordpress Plugins Pentest
Attack Surface
Η γνώση του πώς ένα Wordpress plugin μπορεί να εκθέσει λειτουργικότητα είναι το κλειδί για να βρείτε ευπάθειες στη λειτουργικότητά του. Μπορείτε να βρείτε πώς ένα plugin μπορεί να εκθέσει λειτουργικότητα στα παρακάτω σημεία και μερικά παραδείγματα ευάλωτων plugins σε αυτή την ανάρτηση στο blog.
wp_ajax
Ένας από τους τρόπους με τους οποίους ένα plugin μπορεί να εκθέσει λειτουργίες στους χρήστες είναι μέσω AJAX handlers. Αυτά μπορεί να περιέχουν σφάλματα λογικής, εξουσιοδότησης ή ταυτοποίησης. Επιπλέον, είναι συχνό το γεγονός ότι αυτές οι λειτουργίες θα βασίζονται τόσο στην ταυτοποίηση όσο και στην εξουσιοδότηση στην ύπαρξη ενός wordpress nonce το οποίο οποιοσδήποτε χρήστης που έχει ταυτοποιηθεί στην Wordpress instance μπορεί να έχει (ανεξάρτητα από τον ρόλο του).
Αυτές είναι οι λειτουργίες που μπορούν να χρησιμοποιηθούν για να εκθέσουν μια λειτουργία σε ένα plugin:
Η χρήση του nopriv
καθιστά το endpoint προσβάσιμο από οποιονδήποτε χρήστη (ακόμα και από μη αυθεντικοποιημένους).
Επιπλέον, αν η συνάρτηση απλώς ελέγχει την εξουσιοδότηση του χρήστη με τη συνάρτηση wp_verify_nonce
, αυτή η συνάρτηση ελέγχει απλώς αν ο χρήστης είναι συνδεδεμένος, συνήθως δεν ελέγχει τον ρόλο του χρήστη. Έτσι, οι χρήστες με χαμηλά προνόμια μπορεί να έχουν πρόσβαση σε ενέργειες με υψηλά προνόμια.
REST API
Είναι επίσης δυνατό να εκθέσετε συναρτήσεις από το wordpress καταχωρώντας ένα rest AP χρησιμοποιώντας τη συνάρτηση register_rest_route
:
Ο permission_callback
είναι μια συνάρτηση callback που ελέγχει αν ένας συγκεκριμένος χρήστης είναι εξουσιοδοτημένος να καλέσει τη μέθοδο API.
Αν χρησιμοποιηθεί η ενσωματωμένη συνάρτηση __return_true
, απλά θα παραλείψει τον έλεγχο δικαιωμάτων χρήστη.
Άμεση πρόσβαση στο αρχείο php
Φυσικά, το Wordpress χρησιμοποιεί PHP και τα αρχεία μέσα στα plugins είναι άμεσα προσβάσιμα από το διαδίκτυο. Έτσι, σε περίπτωση που ένα plugin εκθέτει οποιαδήποτε ευάλωτη λειτουργικότητα που ενεργοποιείται απλά με την πρόσβαση στο αρχείο, θα είναι εκμεταλλεύσιμο από οποιονδήποτε χρήστη.
Προστασία WordPress
Τακτικές Ενημερώσεις
Βεβαιωθείτε ότι το WordPress, τα plugins και τα θέματα είναι ενημερωμένα. Επίσης, επιβεβαιώστε ότι η αυτόματη ενημέρωση είναι ενεργοποιημένη στο wp-config.php:
Επίσης, εγκαταστήστε μόνο αξιόπιστα πρόσθετα και θέματα WordPress.
Πρόσθετα Ασφαλείας
Άλλες Συστάσεις
Αφαιρέστε τον προεπιλεγμένο χρήστη admin
Χρησιμοποιήστε ισχυρούς κωδικούς πρόσβασης και 2FA
Περιοδικά ελέγξτε τα δικαιώματα των χρηστών
Περιορίστε τις προσπάθειες σύνδεσης για να αποτρέψετε επιθέσεις Brute Force
Μετονομάστε το αρχείο
wp-admin.php
και επιτρέψτε πρόσβαση μόνο εσωτερικά ή από συγκεκριμένες διευθύνσεις IP.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F916570657-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252Fr3Cb8nKOYrlGZdSyjbAy%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9fbb29e6&sv=1)
Χρησιμοποιήστε Trickest για να δημιουργήσετε και να αυτοματοποιήσετε ροές εργασίας με τη βοήθεια των πιο προηγμένων εργαλείων της κοινότητας. Αποκτήστε Πρόσβαση Σήμερα:
Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated