Spycio.Kon

CVE-2023–41425 Lời nói đầu: Bài viết này có ở đây để mình hiểu sâu hơn về cách tìm lỗi trong các mã nguồn CMS, rất mong được mọi người đón nhận và sửa lỗi nếu có sai sót.  ---------------------------------------------------------------------------------------------------------------------------- Đầu tiên lên nvd.nist.gov để tìm hiểu lỗi. Như trên hình thì nó cho ta biết một lỗi XSS tại version 3.2.0->3.4.2 của Wonder CMS có thể dẫn đến RCE thông qua installModule component. Mình cũng nói trước là mình chỉ research RCE part, còn XSS thì mình sẽ không quan tâm mặc dù nó cũng trong phần Attack Chain Tiến hành download bản lỗi, tại đây mình download bản 3.4.2 cũng tức là bản đang có lỗi này.  Tại dòng 146, mình thấy có hàm installUpdateModuleAction(). Tuy nhiên, dòng 142 cho biết chúng ta phải đăng nhập mới có thể sử dụng tính năng này. -> cần xác thực Vì muốn hiểu cách thức RCE nên mình sẽ bỏ qua phần xác thực, tiến hành đăng nhập luôn Hàm này sẽ hoạt động như nào, hãy cùng phâ

 Phân tích CVE-2023-23488 Mỗt lỗ hổng SQL Injection không xác thực ảnh hưởng đến tất cả phiên bản <2.9.8 của plugin Paid Memberships Pro của Wordpress. Tham khảo Mình cài bản 2.9.6 Trong bài viết, lỗ hổng được đề cập nằm ở tham số code tại REST route.  Tại file rest-api.php ta thấy nó có gọi đến hàm pmpro_rest_api_permissions_get_order() Để truy cập vô thì ta sẽ truy cập đường dẫn sau  http://localhost/wordpress/wp-json/pmpro/v1/order Nhảy đến hàm  pmpro_rest_api_permissions_get_order() Thấy rằng nếu method là GET, route là /pmpro/v1/order và không có permission thì đoạn if sẽ được thực thi Chú ý vào vào biến $code, có thể điều khiển được giá trị đầu vào. Input chưa được sanitize được đưa thẳng vô class MemberOrder.  Nhảy đến class này để kiểm tra, thấy được đưa vô đối số $id Đoạn if kiểm tra nếu $id là số thì gọi đến hàm getMemberOrderByID, còn không thì gọi đến getMemberOrderByCode. Trong trường hợp này chúng ta sẽ truyền giá trị không phải là số, hãy xem hàm getMemberOrderByCode(

 Phân tích WP Fastest Cache 1.2.0 - Unauthenticated SQL Injection Hello mọi người, dạo này ham hố kiếm CVE quá (tại tui nghèo mà) nên quyết định nghiên cứu CVE này để lấy lợi thế. Sẵn tiện em đang có mong muốn inter parttime mảng pentest, anh chị hr nào cần tuyển thì cứ comment hoặc ib qua facebook ạ T_T. Mình viết còn nhiều sai sót, mong được mọi người chỉ bảo để có thể cải thiện kĩ năng Yêu cầu:  +) Wordpress(bản nào cũng được) +) Fastest Cache version dưới 1.2.2, ở đây thì mình lựa chọn cài bản 1.2.0 chưa vá lỗi. +) Mysql(đang chạy bản nào cũng được) Các bước chuẩn bị: Add plugin vừa tải vào đây và đợi cài Enable cache system Vậy chúng ta đã xong bước chuẩn bị. Tiến hành phân tích code và đặt breakpoint Dưới là đoạn code dính lỗi tại file cache.php Mọi người có thể đọc lại bài của mình để hiểu về regex , mình kém nó lắm nên đôi lúc phải đọc lại cho nhớ :))))  Từ dòng 478-480, ta thấy nó lấy $cookie_key và $cookie_value từ global variable cụ thể ở đây là $_COOKIE, lấy thông qua fore

 CVE-2017-9841 Lỗ hổng cho phép attacker thực thi lệnh tùy ý dẫn đến RCE.  Lỗ hổng này đã được Bob Weinand vô tình vá vào năm 2016 nhưng không hề có bất kì lời khuyên bảo mật nào nên tui sẽ nghiên cứu nó :v Mọi người có thể dựng lại lab tại đây Sau khi dirsearch mình nhận thấy có 1 file eval-stdin.php.  Theo như các research trước, tại file này sẽ chứa nội dung như sau <?php eval ( ' ?> ' . file_get_contents ( ' php://input ' )) ; Input chúng ta có thể điều khiển được đặt trong hàm eval mà không có bất kì biện pháp bảo vệ nào cả. Truy cập vô file đó về gửi mã php như sau. Mã của chúng ta đã được thực thi, bây giờ chỉ cần đọc flag trong env là xong