Wordpress
1. 發現點
1️⃣ 瀏覽 robots.txt
robots.txtcurl -s http://blog.inlanefreight.local/robots.txt有時會列出隱藏路徑
2️⃣ 確認 CMS
curl -s http://blog.inlanefreight.local | grep WordPress出現 WordPress 5.8 即可確認
3️⃣ 確認主題 & 插件
curl -s http://blog.inlanefreight.local/ | grep themes
curl -s http://blog.inlanefreight.local/ | grep plugins
curl -s http://blog.inlanefreight.local/?p=1 | grep plugins透過路徑
/wp-content/themes/同/wp-content/plugins/可以知道網站用咩主題/插件。
2. 測試Payload
1️⃣ 使用 WPScan
sudo gem install wpscan
sudo wpscan --url http://blog.inlanefreight.local --enumerate --api-token <你的token>列出用戶、主題、插件、版本、已知漏洞
2️⃣ 用戶爆破（XML-RPC）
如果爆破成功例如：
即可以用 admin 身份登入 http://blog.inlanefreight.local/wp-login.php。
3. 後台取得 RCE
方法 A：修改主題檔案取得 WebShell
後台登入之後，去
選一個主題（例如
twentynineteen），然後選404.php在底部加入：
儲存並透過 cURL 測試：
出現
uid=33(www-data)就成功！
方法 B：Metasploit 模組自動上傳 shell
成功就會開一個 meterpreter session。
Complete Version
PHP 外掛
可能可以將.php 檔案上傳為外掛。使用以下範例建立你的 php 後門：
然後新增一個插件：
上傳外掛程式並按立即安裝：
點選“處理”：
顯然這可能不會產生任何效果，但如果你進入媒體，你會看到你的 shell 已上傳：
存取它，你會看到執行反向shell的URL：
上傳並啟用惡意插件
（此部分複製自 https://www.hackingarticles.in/wordpress-reverse-shell/）
有時候登入使用者沒有可寫的權限來對WordPress主題進行修改，所以我們選擇「注入WP pulgin惡意程式碼」作為取得web shell的替代策略。
因此，一旦您可以存取 WordPress 儀表板，您就可以嘗試安裝惡意外掛程式。這裡我已經從exploit db下載了有漏洞的插件。
點擊此處 **下載插件進行練習。
由於我們有插件的 zip 文件，現在是時候上傳插件了。
儀表板 > 插件 > 上傳插件
瀏覽下載的 zip 文件，如圖所示。
一旦包成功安裝，我們需要啟動插件。
當一切設定好之後就可以進行利用了。由於我們安裝了名為“reflex-gallery”的易受攻擊的插件，因此它很容易被利用。
您將在 Metasploit 框架內利用此漏洞，從而載入以下模組並執行以下命令：
1234
使用exploit/unix/webapp/wp_slideshowgallery_uploadset rhosts 192.168.1.101set targeturi /wordpressexploit
執行上述命令後，您將擁有 meterpreter 會話。如本文所述，有許多方法可以利用 WordPress 平台網站。
4. 已知漏洞利用
1️⃣ Mail-Masta 插件 RFI（Remote File Inclusion）
測試：
如果成功顯示
/etc/passwd，代表存在 RFI，進一步可利用上傳本地 payload。
2️⃣ wpDiscuz 文件上傳繞過（版本 <= 7.0.4）
利用腳本上傳 PHP webshell：
用 cURL 測試：
出現
uid=33(www-data)，即 RCE 成功。
5.利用已知漏洞
易受攻擊的插件 - mail-masta
我們可以看到， pl參數允許我們包含一個文件，而無需任何類型的輸入驗證或清理。利用這個，我們可以在網頁伺服器上包含任意檔案。讓我們利用這一點來使用cURL檢索/etc/passwd檔案的內容。
易受攻擊的外掛 - wpDiscuz
wpDiscuz是一個 WordPress 插件，用於增強頁面貼文的評論功能。在撰寫本文時，該插件的下載量已超過 160 萬次，活躍安裝量超過 90,000 次，這使它成為我們很有可能在評估期間遇到的非常受歡迎的插件。根據版本號（7.0.4），此漏洞很有可能讓我們獲得命令執行。該漏洞的關鍵是文件上傳繞過。 wpDiscuz 僅允許圖像附件。檔案 mime 類型功能可能會被繞過，從而允許未經身份驗證的攻擊者上傳惡意 PHP 檔案並獲得遠端程式碼執行。關於 MIME 類型偵測功能繞過的更多資訊可以在這裡找到。
所寫的漏洞可能會失敗，但是我們可以使用cURL使用上傳的 Web shell 執行命令。我們只需要在.php副檔名後面附加?cmd=即可執行我們可以在漏洞腳本中看到的指令。
6. 連鎖漏洞
一旦取得 webshell / meterpreter session，可以進一步：
提權
sudo -l 檢查 sudo 權限、或找可寫 cron 任務
密碼收集
檢查 wp-config.php 抓取資料庫帳密
內網掃描
netstat -anp 或 nmap -sP 內部段
橫向移動
試用相同帳密登入其他服務
持久化後門
在 /wp-content/uploads 或 /themes 留下反向 shell
最后更新于
这有帮助吗？