據(jù)統(tǒng)計(jì)，全球29%的網(wǎng)站使用的都是WordPress。由于WordPress的使用非常廣泛，使得WordPress插件的安全問(wèn)題成為了網(wǎng)絡(luò)犯罪分子們關(guān)注的焦點(diǎn)。一般來(lái)說(shuō)，第三方提供的插件其安全等級(jí)肯定沒(méi)有WordPress核心插件的安全等級(jí)高，因此它們對(duì)于攻擊者來(lái)說(shuō)，絕對(duì)是極具吸引力的攻擊目標(biāo)。為了入侵目標(biāo)WordPress站點(diǎn)，攻擊者需要利用插件中的安全漏洞，那么靜態(tài)代碼分析技術(shù)能檢測(cè)到這些漏洞嗎?

在這篇文章中，我們將會(huì)對(duì)2017年影響最為嚴(yán)重的插件漏洞進(jìn)行分析。除此之外，我們還會(huì)跟大家介紹靜態(tài)代碼分析工具如何才能檢測(cè)到這些漏洞。

二、漏洞選取

我們選取公開已知插件漏洞的條件如下：

1. 發(fā)布于2017年
2. 受影響的插件安裝量非常大
3. 漏洞影響嚴(yán)重
4. 不需要認(rèn)證或?qū)Ψ?wù)器有任何要求(例如WP statistics插件的SQLi漏洞)
5. 不會(huì)影響非開源的商業(yè)插件

RIPS可以對(duì)非WordPress核心插件進(jìn)行代碼分析，接下來(lái)，我們會(huì)對(duì)WordPress的相關(guān)功能進(jìn)行分析，并介紹如何對(duì)插件進(jìn)行深入的代碼分析。

1. Loginizer 1.3.5-SQL注入漏洞(CVE-2017-12650)

目前，總共有55萬(wàn)WordPress站點(diǎn)安裝了Loginizer插件。這款插件的作用理應(yīng)是通過(guò)屏蔽暴力破解攻擊、啟用雙因素身份驗(yàn)證、以及reCAPTCHA驗(yàn)證碼機(jī)制來(lái)給WordPress的登錄功能增加安全性。但是在今年八月份，研究人員在Loginizer的登錄程序中發(fā)現(xiàn)了一個(gè)SQL注入漏洞，而這個(gè)漏洞反而會(huì)讓原本需要得到保護(hù)的管理員憑證處于安全風(fēng)險(xiǎn)之中。

接下來(lái)，我們一起看一看包含漏洞的代碼，并且跟大家解釋靜態(tài)代碼分析工具(以下簡(jiǎn)稱SAST工具)如果想要檢測(cè)到這類漏洞的話，需要什么樣的要求。在接下來(lái)的分析過(guò)程中，我們給大家提供的只是簡(jiǎn)單的代碼段，而實(shí)際的分析會(huì)更加復(fù)雜。

(1) 第一步：識(shí)別自定義的SQL封裝器

首先，SAST工具最基本的就是要識(shí)別出該插件中用戶自定義的函數(shù)lz_selectquery()，這個(gè)函數(shù)可以利用WordPress的數(shù)據(jù)庫(kù)驅(qū)動(dòng)器來(lái)執(zhí)行SQL語(yǔ)句。當(dāng)這個(gè)函數(shù)被調(diào)用的時(shí)候，它需要對(duì)第一個(gè)參數(shù)進(jìn)行SQL注入檢測(cè)。

modules/Emails/DetailView.php

1. function lz_selectquery($query, $array = 0){ 
2.  
3. global $wpdb; 
4.  
5. $result = $wpdb->get_results($query, 'ARRAY_A'); 
6.  
7. } 

(2) 第二步：識(shí)別輸入來(lái)源

對(duì)于SAST工具而言，另一種基本功能就是它必須能夠識(shí)別出PHP中所有常見的和不常見的用戶輸入來(lái)源。但攻擊者可以修改用戶自定義函數(shù)lz_getip()所返回的HTTP請(qǐng)求頭，因此該函數(shù)所返回的值就是不可信的了，所以整個(gè)數(shù)據(jù)流必須進(jìn)行精準(zhǔn)跟蹤。

modules/Emails/DetailView.php

1. function lz_getip() { 
2.  
3. global $loginizer; 
4.  
5. if(isset($_SERVER["REMOTE_ADDR"])) { 
6.  
7. $ip = $_SERVER["REMOTE_ADDR"]; 
8.  
9. } 
10.  
11. if(isset($_SERVER["HTTP_X_FORWARDED_FOR"])) { 
12.  
13. $ip = $_SERVER["HTTP_X_FORWARDED_FOR"]; 
14.  
15. } 
16.  
17. return $ip; 
18.  
19. } 

(3) 第三步：分析WordPress的action和filter

WordPress允許我們定義各種不同的action來(lái)調(diào)用自定義函數(shù)，為了跟蹤插件的控制流程，SAST工具必須要了解這些回調(diào)的運(yùn)行機(jī)制。在下面給出的代碼段中，我們可以看到loginizer_load_plugin()函數(shù)是通過(guò)action調(diào)用的，這個(gè)函數(shù)可以從lz_getip()函數(shù)中獲取用戶輸入，并將其存儲(chǔ)再全局?jǐn)?shù)組$loginizer之中，然后再通過(guò)WordPress filter來(lái)調(diào)用另一個(gè)自定義函數(shù)loginizer_wp_authenticate()。因此，除了WordPress action之外，SAST工具還需要了解WordPress filter的工作機(jī)制。

modules/Emails/DetailView.php

1. function loginizer_load_plugin() { 
2.  
3. global $loginizer; 
4.  
5. $loginizer['current_ip'] = lz_getip(); 
6.  
7. add_filter('authenticate', 'loginizer_wp_authenticate', 10001, 3); 
8.  
9. } 
10.  
11. add_action('plugins_loaded', 'loginizer_load_plugin'); 

(4) 第四步：分析全局變量

雖然下面這段代碼對(duì)于我們?nèi)祟悂?lái)說(shuō)可以輕易看懂，但是對(duì)于SAST工具來(lái)說(shuō)分析起來(lái)可就非常復(fù)雜了。它需要通過(guò)多個(gè)函數(shù)調(diào)用來(lái)分析全局?jǐn)?shù)組$loginizer的數(shù)據(jù)流，只有這樣它才能夠檢測(cè)到lz_getip()函數(shù)傳遞給loginizer_can_login()函數(shù)(為對(duì)SQL語(yǔ)句中的拼接內(nèi)容進(jìn)行數(shù)據(jù)過(guò)濾)的用戶輸入信息。其中的SQL語(yǔ)句是通過(guò)自定義的SQL函數(shù)lz_selectquery()實(shí)現(xiàn)的，雖然WordPress可以通過(guò)模擬magic_quotes來(lái)防止注入，但是來(lái)自HTTP頭中的惡意用戶輸入數(shù)據(jù)并不會(huì)受此影響。

modules/Emails/DetailView.php

1. function loginizer_wp_authenticate($user, $username, $password) { 
2.  
3. global $loginizer, $lz_error, $lz_cannot_login, $lz_user_pass; 
4.  
5. if(loginizer_can_login()) { 
6.  
7. return $user; 
8.  
9. } 
10.  
11. } 
12.  
13. function loginizer_can_login() { 
14.  
15. global $wpdb, $loginizer, $lz_error; 
16.  
17. $result = lz_selectquery("SELECT * FROM ".$wpdb->prefix."loginizer_logs 
18.  
19. WHERE ip = '".$loginizer['current_ip']."';"); 
20.  
21. } 

由于RIPS的分析算法主要針對(duì)的是PHP語(yǔ)言，因此它對(duì)WordPress的分析會(huì)比較到位，因此它能夠識(shí)別出WordPress復(fù)雜的數(shù)據(jù)流，并成功檢測(cè)出插件中的SQL注入漏洞。

2. Ultimate Form Builder Lite 1.3.6-SQL注入漏洞(CVE-2017-15919)

Ultimate Form Builder插件目前的安裝量已經(jīng)超過(guò)了5萬(wàn)，它允許我們使用拖拽的形式來(lái)創(chuàng)建聯(lián)系表單。在今年十月份，研究人員在該插件中發(fā)現(xiàn)并報(bào)告了一個(gè)嚴(yán)重的SQL注入漏洞，而該漏洞將允許攻擊者接管目標(biāo)WordPress網(wǎng)站。

接下來(lái)，我們會(huì)分析代碼中存在的問(wèn)題，以及SAST工具如何才能檢測(cè)到這個(gè)安全漏洞。

(1) 第一步：識(shí)別上下文環(huán)境

首先，插件要執(zhí)行的所有SQL語(yǔ)句都需要被分析，雖然WordPress數(shù)據(jù)庫(kù)驅(qū)動(dòng)跟插件代碼無(wú)關(guān)，但它所使用的方法(例如get_rwo())是可以被RIPS引擎識(shí)別的(搜索潛在的SQL注入漏洞)。

modules/Emails/DetailView.php

1. class UFBL_Model { 
2.  
3. public static function get_form_detail( $form_id ) { 
4.  
5. global $wpdb; 
6.  
7. $table = UFBL_FORM_TABLE; 
8.  
9. $form_row = $wpdb->get_row("SELECT * FROM $table WHERE form_id = $form_id"); 
10.  
11. return $form_row; 
12.  
13. } 
14.  
15. } 

在這里，引擎可以分析SQL語(yǔ)句以識(shí)別注入環(huán)境。一般來(lái)說(shuō)，這種地方的安全漏洞是很難被發(fā)現(xiàn)的。如果它讀取的是form_id=’$form_id’而不是form_id=$form_id，那么這條語(yǔ)句就沒(méi)有安全問(wèn)題了，因?yàn)閃ordPress可以對(duì)用戶的輸入進(jìn)行甄別。因此，只有那些上下文環(huán)境敏感的SAST工具才能夠感知到這種隱蔽的安全問(wèn)題。

(2) 第二步：跟蹤用戶輸入數(shù)據(jù)流

這一步相對(duì)來(lái)說(shuō)比較簡(jiǎn)答，你可以從在下面的代碼中看到，如果工具無(wú)法分析到$form_id的潛在隱患，那么受污染的數(shù)據(jù)將有可能擴(kuò)散到其他功能函數(shù)中。

modules/Emails/DetailView.php

class UFBL_Lib { 

 

public static function do_form_process() { 

 

$form_data = array(); 

 

foreach ( $_POST['form_data'] as $val ) { 

 

if ( strpos( $val['name'], '[]' ) !== false ) { 

 

$form_data_name = str_replace( '[]', '', $val['name'] ); 

 

if ( !isset( $form_data[$form_data_name] ) ) { 

 

$form_data[$form_data_name] = array(); 

 

} 

 

分享名稱：wordpress插件有哪些是有漏洞的？
文章鏈接：http://jinyejixie.com/news10/105410.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站導(dǎo)航、外貿(mào)建站、用戶體驗(yàn)、面包屑導(dǎo)航、外貿(mào)網(wǎng)站建設(shè)、網(wǎng)站策劃

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來(lái)源： 創(chuàng)新互聯(lián)