AG公司云
WordPress REST API 内容注入误差剖析
2017-02-10
WordPress是一种使用PHP语言开发的博客平台，用户可以在支持PHP和MySQL数据库的服务器上架设属于自己的网站。也可以把 WordPress看成一个内容治理系统来使用。
WordPress 在4.7.0版本之后将REST API插件集成到默认功效之中。REST
API为WordPress的使用者提供了一个利便快捷的治理接口。在WordPress
4.7.0-4.7.1版本中保存着一个越权误差，乐成的使用这个误差，可以绕过治理员权限对文章举行增删改查操作。
影响版本
WordPress 4.7.0-4.7.1
误差剖析
在正式的误差剖析最先前，先来简朴先容下REST API的使用。官网给出的先容如下
详细使用详情请参照REST API Handbook
https://developer.wordpress.org/rest-api/
在使用api对文章举行操作之前，需要对操作举行授权，授权方法有三种：cookie、oauth和简朴认证。若是不举行授权直接通过api对文章举行修改操作，会返回一个401，如下图所示
若是想乐成使用误差，必需绕过权限治理。我们跟踪下后台update处权限治理代码
public function update_item_permissions_check( $request ) {
$post = get_post( $request['id'] );
$post_type = get_post_type_object( $this->post_type );
if ( $post && ! $this->check_update_permission( $post ) ) {
return new WP_Error( 'rest_cannot_edit' __( 'Sorry you are not allowed to edit this post.' ) array( 'status' => rest_authorization_required_code() ) );
}
if ( ! empty( $request['author'] ) && get_current_user_id() !== $request['author'] && ! current_user_can( $post_type->cap->edit_others_posts ) ) {
return new WP_Error( 'rest_cannot_edit_others' __( 'Sorry you are not allowed to update posts as this user.' ) array( 'status' => rest_authorization_required_code() ) );
}
if ( ! empty( $request['sticky'] ) && ! current_user_can( $post_type->cap->edit_others_posts ) ) {
return new WP_Error( 'rest_cannot_assign_sticky' __( 'Sorry you are not allowed to make posts sticky.' ) array( 'status' => rest_authorization_required_code() ) );
}
if ( ! $this->check_assign_terms_permission( $request ) ) {
return new WP_Error( 'rest_cannot_assign_term' __( 'Sorry you are not allowed to assign the provided terms.' ) array( 'status' => rest_authorization_required_code() ) );
}
return true;
}
如上图所示，在这里if语句中，前半部分$post为真，后半部分check_update_permission()函数对$post的权限举行判断，效果为假，导致返回Sorry
you are not allowed to edit this post信息。
这个误差的挑战就在于，怎样乐成的绕过update_item_permissions_check()� ？�，使其最终return true。
我们转头看update_item_permissions_check()函数，
注重到$post = get_post( $request[‘id’] );这一行，这一行的作用是判断提交的文章id是否保存。
function get_post( $post = null $output = OBJECT $filter = 'raw' ) {
if ( empty( $post ) && isset( $GLOBALS['post'] ) )
$post = $GLOBALS['post'];
if ( $post instanceof WP_Post ) {
$_post = $post;
} elseif ( is_object( $post ) ) {
if ( empty( $post->filter ) ) {
$_post = sanitize_post( $post 'raw' );
$_post = new WP_Post( $_post );
} elseif ( 'raw' == $post->filter ) {
$_post = new WP_Post( $post );
} else {
$_post = WP_Post::get_instance( $post->ID );
}
} else {
$_post = WP_Post::get_instance( $post );
}
if ( ! $_post )
return null;
$_post = $_post->filter( $filter );
if ( $output == ARRAY_A )
return $_post->to_array();
elseif ( $output == ARRAY_N )
return array_values( $_post->to_array() );
return $_post;
}
可见，若是id对应的文章不保存，则返回null。
若是我们输入的url是这种形式
http://192.168.3.112/wordpress/index.php/wp-json/wp/v2/posts/1/?id=1grq
get_post()函数返回值一定为null，这样会使得$post值为null，转头来看update_item_permissions_check()函数，这时update_item_permissions_check()函数的返回值竟然为true了！
既然update_item_permissions_check()函数的返回值为true，说明我们绕过了update_item_permissions_check()权限验证，可是id为‘1grq’，基础不保存这样数字加字母组合的文章id，那怎么才华对指定文章举行越权操作呢 ？
有趣的事情爆发了，让我们来看update_item()函数，这个函数是用来update通过权限验证的数据，我们看看它是怎么界说的
注重第二行，这里将$request[‘id’]举行了int类型的数值转换，在php中，$request[‘id’]
=”1grq”会被转换为数值类型1，如下图演示
以是这里的$id又由‘1grq’变回1了，get_post()函数也会找到对应id为1的文章了。
误差使用
现在已经有研究员在GitHub上给出响应的poc，链接如下
https://gist.github.com/leonjza/2244eb15510a0687ed93160c623762ab
官方修补计划剖析
在4.7.2版本中，若是get_post()判断$post效果为 false，则直接返回$post，阻止$post进入下层if判断绕过权限检查。
修补防御
升级wordpress至最新版本（4.7.2）。
