Есть WP версии 3.3.1. Есть стандартные плагины, темы.

Доступа к WP нет. Ни к файлам, ни к базе.

Есть доступ к phpmyadmin базе сайта.

Я планирую создать через него html форму(а это получилось) и отправив данные файлы WP загрузить файл.

Можно ли это, если вначале в WP файлах идет проверка на авторизацию админа(в папке wp-admin)

Или это проще сделать через шаблоны?

Если есть доступ к базе, то почему нельзя вытащить хэш админа (заменить на время), подобрать пароль, и под ним зайти в админку, а там уже отредактировать шаблон?

https://wpcafe.org/tutorials/kak-sbr...ez-phpmyadmin/

Держи.

на кой ему сбрасывать пасс? типо совсем не палевно для админа . ТС надо зайти в тему расшифровки , найти wp хеш расшифрованный, заменить его в пыхе, сделать дела и вернуть старый хеш на место.профит.

А в чем различие этого метода,от того что ты предложил?)

Различе только в том,что не надо идти в "тему" и искать там хеш,если можно и обычным md5 обойтись, а потом вернуть так же все на место.

уважаемый, вы значение слов "сбросить и поменять на время" знаете? если да , то увидите и разницу, если нет, то гугл поможет.

На сервере есть сайт и cms.

У меня есть доступ к сайту но нет доступа к cms.

Я с помощью базы сайта могу встроить html код, вывести его на страницу и попытаться загрузить шелл.

Но мне нужен обработчик php, которого я не могу найти. Знаю, что такая возможность есть у WP но разобраться не могу. Либо это в темы, либо в wp-admin/upload.php, index.php копать.

Если бы был доступ к базе я бы не парился, залил бы через админку. Но доступа к ней нет

А это тогда о чем?

А мне необходим шелл на сайт, который я хочу залить при помощи скриптов wordpress передавая данные на скрипты

Вы уже всех запутали. Я уже например ничего не понимаю к чему есть доступ к мену нет а к чему надо получить. Такое впечателение что речь о трех разных вещах.

По моему он про CSRF.

На VPS(виртуальном выделенном сервере) крутиться сайт и wordpress.

У сайта и wordpress - разные базы данных и разные пользователи mysql.

У меня есть доступ к базе данных сайта но нет доступа к вордпрессу. Ни к файлам, ни к базе данных.

Цель: загрузить шелл на сервер.

Задача: Используя phpmyadmin и загрузив через сайт html форму указать правильный обрабатываемый файл, который я не могу найти.

То есть вместо upload.php может быть /wp-admin/index.php, /wp-content/themes/default/index.php - или вообще не админка, и не тема.

Вообщем, какой файл отвечает в wordpress за загрузку файла, которому можно передать параметр и загрузить файл?

так поставь у себя вордпресс и смотри какой файл тебе нужен

За загрузку отвечает /wp-admin/media-new.php

Он проверяет авторизацию, и если норм, позволяет загружать файлы с помощью media-upload

media-new.php

media-upload.php

Но сообразить как правильно сделать в обход авторизации я не могу.

upload.php

[CODE]
Code:
get_pagenum();

// Handle bulk actions
$doaction = $wp_list_table->current_action();

if ( $doaction ) {
check_admin_referer('bulk-media');

if ( 'delete_all' == $doaction ) {
$post_ids = $wpdb->get_col( "SELECT ID FROM $wpdb->posts WHERE post_type='attachment' AND post_status = 'trash'" );
$doaction = 'delete';
} elseif ( isset( $_REQUEST['media'] ) ) {
$post_ids = $_REQUEST['media'];
} elseif ( isset( $_REQUEST['ids'] ) ) {
$post_ids = explode( ',', $_REQUEST['ids'] );
}

$location = 'upload.php';
if ( $referer = wp_get_referer() ) {
if ( false !== strpos( $referer, 'upload.php' ) )
$location = remove_query_arg( array( 'trashed', 'untrashed', 'deleted', 'message', 'ids', 'posted' ), $referer );
}

switch ( $doaction ) {
case 'find_detached':
if ( !current_user_can('edit_posts') )
wp_die( __('You are not allowed to scan for lost attachments.') );

$lost = $wpdb->get_col( "
SELECT ID FROM $wpdb->posts
WHERE post_type = 'attachment' AND post_parent > '0'
AND post_parent NOT IN (
SELECT ID FROM $wpdb->posts
WHERE post_type NOT IN ( 'attachment', '" . join( "', '", get_post_types( array( 'public' => false ) ) ) . "' )
)
" );

$_REQUEST['detached'] = 1;
break;
case 'attach':
$parent_id = (int) $_REQUEST['found_post_id'];
if ( !$parent_id )
return;

$parent = &get_post( $parent_id );
if ( !current_user_can( 'edit_post', $parent_id ) )
wp_die( __( 'You are not allowed to edit this post.' ) );

$attach = array();
foreach ( (array) $_REQUEST['media'] as $att_id ) {
$att_id = (int) $att_id;

if ( !current_user_can( 'edit_post', $att_id ) )
continue;

$attach[] = $att_id;
clean_attachment_cache( $att_id );
}

if ( ! empty( $attach ) ) {
$attach = implode( ',', $attach );
$attached = $wpdb->query( $wpdb->prepare( "UPDATE $wpdb->posts SET post_parent = %d WHERE post_type = 'attachment' AND ID IN ( $attach )", $parent_id ) );
}

if ( isset( $attached ) ) {
$location = 'upload.php';
if ( $referer = wp_get_referer() ) {
if ( false !== strpos( $referer, 'upload.php' ) )
$location = $referer;
}

$location = add_query_arg( array( 'attached' => $attached ) , $location );
wp_redirect( $location );
exit;
}
break;
case 'trash':
if ( !isset( $post_ids ) )
break;
foreach ( (array) $post_ids as $post_id ) {
if ( !current_user_can( 'delete_post', $post_id ) )
wp_die( __( 'You are not allowed to move this post to the trash.' ) );

if ( !wp_trash_post( $post_id ) )
wp_die( __( 'Error in moving to trash...' ) );
}
$location = add_query_arg( array( 'trashed' => count( $post_ids ), 'ids' => join( ',', $post_ids ) ), $location );
break;
case 'untrash':
if ( !isset( $post_ids ) )
break;
foreach ( (array) $post_ids as $post_id ) {
if ( !current_user_can( 'delete_post', $post_id ) )
wp_die( __( 'You are not allowed to move this post out of the trash.' ) );

if ( !wp_untrash_post( $post_id ) )
wp_die( __( 'Error in restoring from trash...' ) );
}
$location = add_query_arg( 'untrashed', count( $post_ids ), $location );
break;
case 'delete':
if ( !isset( $post_ids ) )
break;
foreach ( (array) $post_ids as $post_id_del ) {
if ( !current_user_can( 'delete_post', $post_id_del ) )
wp_die( __( 'You are not allowed to delete this post.' ) );

if ( !wp_delete_attachment( $post_id_del ) )
wp_die( __( 'Error in deleting...' ) );
}
$location = add_query_arg( 'deleted', count( $post_ids ), $location );
break;
}

wp_redirect( $location );
exit;
} elseif ( ! empty( $_GET['_wp_http_referer'] ) ) {
wp_redirect( remove_query_arg( array( '_wp_http_referer', '_wpnonce' ), stripslashes( $_SERVER['REQUEST_URI'] ) ) );
exit;
}

$wp_list_table->prepare_items();

$title = __('Media Library');
$parent_file = 'upload.php';

wp_enqueue_script( 'wp-ajax-response' );
wp_enqueue_script( 'jquery-ui-draggable' );
wp_enqueue_script( 'media' );

add_screen_option( 'per_page', array('label' => _x( 'Media items', 'items per page (screen options)' )) );

get_current_screen()->add_help_tab( array(
'id' => 'overview',
'title' => __('Overview'),
'content' =>
'' . __( 'All the files you’ve uploaded are listed in the Media Library, with the most recent uploads listed first. You can use the Screen Options tab to customize the display of this screen.' ) . '' .
'' . __( 'You can narrow the list by file type/status using the text link filters at the top of the screen. You also can refine the list by date using the dropdown menu above the media table.' ) . ''
) );
get_current_screen()->add_help_tab( array(
'id' => 'actions-links',
'title' => __('Available Actions'),
'content' =>
'' . __( 'Hovering over a row reveals action links: Edit, Delete Permanently, and View. Clicking Edit or on the media file’s name displays a simple screen to edit that individual file’s metadata. Clicking Delete Permanently will delete the file from the media library (as well as from any posts to which it is currently attached). View will take you to the display page for that file.' ) . ''
) );
get_current_screen()->add_help_tab( array(
'id' => 'attaching-files',
'title' => __('Attaching Files'),
'content' =>
'' . __( 'If a media file has not been attached to any post, you will see that in the Attached To column, and can click on Attach File to launch a small popup that will allow you to search for a post and attach the file.' ) . ''
) );

get_current_screen()->set_help_sidebar(
'' . __( 'For more information:' ) . '' .
'' . __( 'Documentation on Media Library' ) . '' .
'' . __( 'Support Forums' ) . ''
);

require_once('./admin-header.php');
?>

' . __('Search results for “%s”') . '', get_search_query() ); ?>

' . __('Undo') . '';
$_SERVER['REQUEST_URI'] = remove_query_arg(array('trashed'), $_SERVER['REQUEST_URI']);
}

if ( ! empty( $_GET['untrashed'] ) && $untrashed = absint( $_GET['untrashed'] ) ) {
$message = sprintf( _n( 'Media attachment restored from the trash.', '%d media attachments restored from the trash.', $untrashed ), number_format_i18n( $_GET['untrashed'] ) );
$_SERVER['REQUEST_URI'] = remove_query_arg(array('untrashed'), $_SERVER['REQUEST_URI']);
}

$messages[1] = __('Media attachment updated.');
$messages[2] = __('Media permanently deleted.');
$messages[3] = __('Error saving media attachment.');
$messages[4] = __('Media moved to the trash.') . ' ' . __('Undo') . '';
$messages[5] = __('Media restored from the trash.');

if ( ! empty( $_GET['message'] ) && isset( $messages[ $_GET['message'] ] ) ) {
$message = $messages[ $_GET['message'] ];
$_SERVER['REQUEST_URI'] = remove_query_arg(array('message'), $_SERVER['REQUEST_URI']);
}

if ( !empty($message) ) { ?>

views(); ?>

search_box( __( 'Search Media' ), 'media' ); ?>

display(); ?>

Вы все в кучу смешали. Зачем вообще говорить о сайте если не собираетесь его использовать. Надо было написать есть сайт на вордпрессе хочу ему залить шелл.

Исходники это небось файлы от установщика? Не факт что там на сервере все то же самое. И искать через что там льют на сервер как иголку в стоге сена. Если админ более менее нормальный там затычки стоят.

сканировал wpscan. приблизил аналогично к cms с одной лишь целью, возможно ли используя файлы WP - загрузить локально шелл?

Если ты обойдёшь авторизацию, то зачем что-то куда-то встраивать? Всё что можно было раскопать в этой версии, скорее всего уже раскопано, смотри баг трекеры.

CSRF-ить имеет смысл если WP лежит с той стороны или нет доступа к админке. В твоём случае проще угнать куки, если я правильно помню, то в старых версиях логин с чужими куками возможен.

Для CSRF, встрой свой JS код в основной сайт и проверяй всех посетителей сайта на админа в WP. Если ответ положительный, запускается заливка файла или редактирование шаблона (лучше заложить и то и другое). Для ускорения, можно скинуть пасс админу, возможно это побудит его залогиниться, в целях проверки.

http://securitytracker.com/id/1032555