漏洞介绍

WP Fastest Cache是一个WordPress缓存插件，用于加速页面加载、改善访问者体验并提高网站在 Google 搜索上的排名。根据 WordPress.org统计，使用WP Fastest Cache的网站已超过一百万个。WP Fastest Cache < 1.2.2版本存在SQL 注入漏洞(CVE-2023-6063)，该漏洞可导致未经身份验证的攻击者读取站点数据库中的内容。

漏洞范围

WP Fastest Cache 插件 < 1.2.2

漏洞靶场

本次复现使用WP Fastest Cache 1.2.1版本

插件下载https://downloads.wordpress.org/plugin/wp-fastest-cache.1.2.1.zip

使用CVE-2024-4439的docker-compose.yml

version: '3.8'

services:
  db:
    image: mysql:5.7
    container_name: wordpress_db
    environment:
      MYSQL_ROOT_PASSWORD: root_password
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wordpress_user
      MYSQL_PASSWORD: wordpress_password
    volumes:
      - db_data:/var/lib/mysql
    networks:
      - wordpress_network

  wordpress:
    image: wordpress:6.4.3
    container_name: wordpress_app
    depends_on:
      - db
    ports:
      - "8080:80"
    environment:
      WORDPRESS_DB_HOST: db:3306
      WORDPRESS_DB_NAME: wordpress
      WORDPRESS_DB_USER: wordpress_user
      WORDPRESS_DB_PASSWORD: wordpress_password
      WORDPRESS_DEBUG: "true"
    volumes:
      - wordpress_data:/var/www/html
      - ./plugins:/var/www/html/wp-content/plugins
    networks:
      - wordpress_network

volumes:
  db_data:
  wordpress_data:

networks:
  wordpress_network:

把插件解压到plugins里面，该目录会挂载到容器内的插件目录

在http://127.0.0.1:8080/wp-admin/plugins.php内，把该插件启用一下

可能会遇到弹出提示，需要设置固定链接

需要在设置-固定链接里面设置

然后插件就可以正常启用了

漏洞原理

简单说就是在加载插件时，取wordpress_logged_in 第一个 | 前的字符，然后插入到 SQL 语句中。
而这样也是可以匹配的，即payload

wordpress_logged_in_5bd7a9c61cda6e66fc921a05bc80ee93内容如下：
wordpress|1702575454|gquEYSZ8lNbJktLUWLpElq4XybIhpPmOL3MmTMcqi4X|91c52c9d088ad036d8ccdc6ef645adfd906829527d27ea494140369cdbfbb1b9
这一部分的功能就是取出wordpress