未分類 « kypan's 札記

by Ryat[puretot]
mail: puretot at gmail dot com
team: http://www.80vul.com
date: 2008-12-18

一分析:
這個漏洞出在後台:wp-admin/post.php

if ( current_user_can('edit_post', $post_ID) ) {
if ( $last = wp_check_post_lock( $post->ID ) ) {
$last_user = get_userdata( $last );
$last_user_name = $last_user ? $last_user->display_name : __('Somebody');
$message = sprintf( __( 'Warning: %s is currently editing this post' ), wp_specialchars( $last_user_name ) );
$message = str_replace( "'", "\'", "<div class='error'><p>$message</p></div>" );
//提交\'經過此處代碼處理後變為\\' :)
add_action('admin_notices', create_function( '', "echo '$message';" ) );
//利用上面的方法閉合echo後面的單引號,就可以執行命令了[ex:\';phpinfo();\'];另外這個地方也可以利用create_function函數自身的一個bug[1]來執行命令[ex:\';}phpinfo();//]
} else {
wp_set_post_lock( $post->ID );
wp_enqueue_script('autosave');
}
}

未分類分類的彙整