了解 Wordpress 漏洞答案

【问题标题】：Understanding the Wordpress vulnerability了解 Wordpress 漏洞
【发布时间】：2009-08-12 18:47:15
【问题描述】：

最近披露了一个影响 WordPress 2.8.3 的漏洞，并允许管理员用户通过更改密码被锁定在其帐户之外。

This post on Full Disclosure 详细介绍了该漏洞，并包含相关代码 sn-ps。帖子中提到'你可以滥用密码重置功能，绕过第一步，然后通过向$key变量提交数组来重置管理员密码。'

我很想请熟悉 PHP 的人更详细地解释该错误。

那些受影响的人应该 update 到一个新的 2.8.4 版本，显然修复了这个缺陷。

wp-login.php:
...[snip]....
line 186:
function reset_password($key) {
    global $wpdb;

    $key = preg_replace('/[^a-z0-9]/i', '', $key);

    if ( empty( $key ) )
        return new WP_Error('invalid_key', __('Invalid key'));

    $user = $wpdb->get_row($wpdb->prepare("SELECT * FROM $wpdb->users WHERE
user_activation_key = %s", $key));
    if ( empty( $user ) )
        return new WP_Error('invalid_key', __('Invalid key'));
...[snip]....
line 276:
$action = isset($_REQUEST['action']) ? $_REQUEST['action'] : 'login';
$errors = new WP_Error();

if ( isset($_GET['key']) )
    $action = 'resetpass';

// validate action so as to default to the login screen
if ( !in_array($action, array('logout', 'lostpassword', 'retrievepassword',
'resetpass', 'rp', 'register', 'login')) && false ===
has_filter('login_form_' . $action) )
    $action = 'login';
...[snip]....

line 370:

break;

case 'resetpass' :
case 'rp' :
    $errors = reset_password($_GET['key']);

    if ( ! is_wp_error($errors) ) {
        wp_redirect('wp-login.php?checkemail=newpass');
        exit();
    }

    wp_redirect('wp-login.php?action=lostpassword&error=invalidkey');
    exit();

break;
...[snip ]...

【问题讨论】：

感谢您不小心提醒我更新我的 word press 安装。 :-)

标签： php security wordpress

【解决方案1】：

所以 $key 是查询字符串中的一个数组，带有一个空字符串 ['']

http://DOMAIN_NAME.TLD/wp-login.php?action=rp&key[]=

reset_password 被一个数组调用，然后 preg_replace 被调用：

 //$key = ['']
 $key = preg_replace('/[^a-z0-9]/i', '', $key);
 //$key = [''] still

因为preg_replace 接受字符串或字符串数组。它正则表达式不替换任何内容并返回相同的数组。 $key 不为空（它是一个空字符串的数组），所以会发生这种情况：

 $user = $wpdb->get_row($wpdb->prepare("SELECT * FROM $wpdb->users 
      WHERE user_activation_key = %s", $key));

现在从这里开始，我需要阅读 wordpress 源代码，了解 prepare 的行为方式...

更多：

因此 prepare 调用 vsprintf 会产生一个空字符串

$a = array('');
$b = array($a);
vsprintf("%s", $b);
//Does not produce anything

所以 SQL 是：

SELECT * FROM $wpdb->users WHERE user_activation_key = ''

这将显然匹配管理员用户（以及我想所有没有activation_keys的用户）。

就是这样。

【讨论】：

一个空数组将返回 true 以进行 empty() 检查，但通过传递 key[]= 您将获得一个以空字符串作为其唯一元素的数组。 vpsprintf() 返回一个值，而不是输出一个值，因此您的示例代码并没有真正说明任何内容。在这两种情况下，您的推理都是合理的，最终结果是相同的。
值得注意的是，该漏洞利用不会影响旧版 Wordpress 安装，并且仅在最近的 change 到 prepare 中变得可行

【解决方案2】：

我有一个关于how to patch this vulnerability 的相关问题 - wp-login.php 上的第 190 行现在应该是这样的；

if ( empty( $key ) || is_array( $key ) )

【讨论】：