前言

Rank Math是一款旨在帮助搜索引擎优化的WordPress插件,被称之为“WordPress SEO的瑞士军刀”。 Rank Math与Yoast SEO、All in One SEO Pack下载量排WordPress SEO工具下载量前三,但其功能方面完全不输Yoast付费版,几乎可以满足用户对SEO的所有需求。更重要的是,Rank Math是一款免费插件。

漏洞描述

近日有研究团队发现,Rank Math插件中存在一个严重的漏洞,未经身份验证的攻击者可以利用该漏洞更新WordPress站点中的任意元数据。这将导致攻击者可以修改任意现有的文章、评论,跟或是将普通权限的用户提权为管理员,将管理员权限用户降级。

漏洞分析

首先我们来看一下Rank Math插件中的漏洞触发点

漏洞触发点位于\wp-content\plugins\seo-by-rank-math\includes\rest\class-admin.php,见下图:

通过上图可见,class-admin.php文件中的gutenberg_routes方法通过register_rest_route方法注册了一个自定义接口

当该自定义接口被调用后,$this->update_metadata方法将作为回调函数被调用。见下图红框处:

接下来看一下$this->update_metadata方法,仍然是位于\wp-content\plugins\seo-by-rank-math\includes\rest\class-admin.php中。见下图:

首先分析$this->update_metadata方法中传入的参数。见下图红框处

$this->update_metadata方法从请求的参数中获取objectID、objectType与meta三个参数,分别赋值给$object_id、$object_type与$meta

接着从$meta取出键值对,并与$object_id、$object_type参数一同传递给update_metadata方法。如下图:

我们具体分析一下上图中的update_metadata方法。update_metadata方法位于\wp-includes\meta.php文件中。见下图:

update_metadata方法是wordpress中用来操作元数据的操作函数,其作用是更新指定对象的元数据。

本次漏洞可以利用该update_metadata函数更新任意指定元数据。那不得不提一下wordpress元数据是什么

什么是元数据(Metadata)

元数据可描述为关于数据的数据。通常元数据有如下两种:

1、结构化的元数据(Structural metadata)是有关数据结构的设计和说明,通常叫做“关于数据容器的数据(data about the containers of data);

2、描述性的元数据(descriptive metadata),关于应用程序数据和数据内容的单个实例。

我们首先看下wordpress开发手册上关于元数据的解释:

“元数据根据其定义,是有关信息的信息。
在WordPress的情况下,它是与帖子,用户,评论和条款相关的信息。”

这里的定义不是很好理解,关于元数据,《深入理解 WordPress 元数据
(Metadata)》一文中进行了很详细的说明,下面节选其中一段关于元数据的说明片段:

想要更深入的了解,可以阅读下这篇文章,原文链接如下

https://www.wpzhiku.com/schedule-actions-wordpress-posts/

简单来说,元数据就是数据的辅助表,对原始表单进行扩充。

在WordPress 中有四种主要的内容类型,分别存储在四个数据表中:

Posts、User、Comment、Link

前三个都有分配给它们的元数据,存放于它们各自的元数据表中。WordPress中唯一没有元数据的对象类型(objecttype)是Link。

WordPress使用3张表存储元数据:分别是wp_postmeta、wp_commentmeta与wp_usermeta

wp_postmeta 存储关于posts的元数据(包括附件,导航菜单项和修改)。

wp_commentmeta 存储关于评论(comments)的元数据。

wp_usermeta 存储关于用户的元数据。例如用户的level以及capabillities

介绍完元数据,我们来看下upadte_metadata函数

upadte_metadata是什么

WordPress提供如下函数对元数据进行操作

我们随意跟进一个更新元数据的操作:update_user_meta()。如下图:

上图可见,update_user_meta函数底层调用的是update_metadata函数进行更新操作。

除了update_user_meta之外,update_post_meta以及update_comment_meta等更新操作底层调用的都是update_metadata。由此可见,update_metadata具有直接更新任意类型元数据的功能。

利用Rank Math插件中注册的接口,未经身份验证的攻击者可以直接调用upadte_metadata,更新任意类型的元数据:例如wp_user_level以及wp_capabilities,这将导致攻击者可以将其订阅者权限的账号提权为管理员,或者将管理员的账号改为订阅者权限以限制管理员登陆。造成比较严重的危害。

漏洞利用

在分析完漏洞触发点以及漏洞之后,我们来看一下如何调用这个存在漏洞的自定义接口。首先我们查看下Wordpress中注册的接口信息。见下图:

上图红框处,即为存在漏洞的接口

可见,接口url为http://127.0.0.1/wordpress/wp-json/rankmath/v1/updateMeta ,访问方式为POST请求

现在攻击者拥有一个目标WordPress账户,名为kumamon,权限为订阅者。见下图红框处:

此时我们查看一下wp_usermeta表可以发现,攻击者拥有的账户在该表中的属性如下图:

如上图所示,第一个红框处的wp_user_level属性值为0。第二个红框处的wp_capabillities属性值为a:1:{s:10:"subscriber";b:1;}

再反观我们管理员admin账号

可见wp_user_level属性值为10,而wp_capabillities属性值为a:1:{s:13:"administrator";b:1;}

因此我们可以通过调用接口,通过底层的update_metadata函数,将kumamon账号的wp_user_level与wp_capabillities属性值修改为与管理员账号相同值。

想要构造利用payload,我们仍需要分析下接口的传参情况。见下图:

上图红框处objectType参数很明显是user,meta参数是要修改的键值对,而objectID这里自然是对应的数据库表中的user_id字段了。但是攻击者账号kumamon对应的user_id是多少?如果不知道这个user_id,攻击者是无法精准的将自己控制的账号进行提权操作。

经过分析发现,在个人资料的页面中包含此信息

该页面查看源码,即可看见当前用户userid的值,见下图红框处,值为4

因此构造数据包如下:

当数据包发送完毕后,kumamon账号的权限随即变为管理员

漏洞修复

在1.0.41.2版本中,Rank Math已经对该漏洞进行修复。见下图:

Rank Math对存在漏洞的接口调用了get_object_permissions_check方法进行权限校验,从而避免了未经授权用户的攻击行为

get_object_permissions_check方法也是1.0.41.2版本中新引进的,具体如下:

底层采用了WordPress 的current_user_can方法进行权限校验

点击收藏 | 1 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖