WordPress Gravity Forms是由国外著名高手开发的一个表单插件，对于想给自己WordPress站点添加订购表格的站长来说，带来很大的方便。Gravity Forms可以支持分页表单，让定义有步骤的进行；定义限期表单，可以设置在某段时间才能够提交表单等功能。本文漏洞分析所面向的对象就是Gravity Forms插件。
在定期清理过程中，我们遇到了一个再感染事例，这引起了我们的注意。在这个特定的环境中，并没有什么特殊的东西，只有1个WordPress的安装更新和3个过时的插件，这就相当合理了，可能漏洞就存在于这些插件中。在清除工作结束之后，竟然再一次地受到了感染，攻击者不停地向服务器上传恶意文件。
在2月21日，恶意文件被上传到了目录“wp-content /uploads/ gravity_forms”和“wp-content /uploads”中，但是攻击者如何做到的呢？
幸运的是，我们找到了访问日志，发现了一些对特定文件的有趣请求。鉴于此，我们开始寻找“_input_”的不同变量，并发现很多针对这些文件的请求：
我们在日志中查找了几天前的记录，以期找到这些请求之前的内容以及这些内容的来源。
通过分析这些文件，我们发现一些针对“?gf_page=upload”的请求。然后，我们尝试在文件系统中搜索该字符串，并在WordPress插件GravityForms（过时版本1.8.19）中发现一个实例。
经过进一步调查，我们发现”?gf_page =upload“存在于common.php文件的第3635行。
有趣的是，针对该请求并没有进行安全处理。出于测试目的，我发送了一个请求“?gf_page =upload”看看会发生什么，有趣的是，我们得到下图所示内容：
然后，我们搜索处理该消息的地方。
通过检查upload.php文件，我们发现必须设置$_REQUEST[“form_id”]，不然上传就会失败。不过，此时我们已经绕过了任何阻止未授权用户访问资源的保护机制。
然后，我将form_id的值设置为1，然后发起了另一个精心制作的请求，这次的错误看起来有点不同。
接着，我试着发送一个test.php，然后触发了一个函数file_name_has_disallowed_extension()，此函数阻止了该文件的上传。通过在common.php文件中检查这些函数的声明，我们明白了为什么会阻止该文件上传。
在get_disallowed_file_extensions()函数中含有一个包含允许扩展名的列表，函数file_name_has_disallowed_extension()检测了我所上传的文件，因为扩展名“php”在禁止列表之中，所以才导致上传失败。
这基本上意味着我们不能上传.php文件了是吗？其实，答案是否，接下来让我们看看为什么会这样。
在“includes/upload.php”中可看到，我们完全可以控制上传文件的文件名，还可以控制文件在服务器上如何存储。54和55行的代码使我们可以通过简单的HTTP请求就能做到这些。
同时，我们可以看到如果$field为空，执行将会在59和60行处停止。所以我们将field_id设置为1。（安全脉搏 www.secpulse.com）
将test.php名字改为test.jpg之后，我们得到了一个有趣的响应。
文件成功上传到了服务器，但名字却变成了“_input_1_”，下面的代码告诉我们“_input_1_”临时文件名是如何创建的：
分解之后，我们得到了下面的内容：
$form_unique_id = We didn't set any value here _input_ = Hardcoded $field_id = We set that 1 as mentioned above _ = Harcoded $file_name = We control this data, therefore we can set .php here
到这里，$tmp_file_name创建成功。
这是一个非常危险的漏洞，你需要尽快更新你所有使用该插件的网站。不过，从GravityForms更新日志中，我们发现在1.8.20版本中已经修复了此漏洞。然而，1.8.19以及更早版本将会受到该漏洞的影响。
【原文：malware-cleanup-to-arbitrary-file-upload-in-gravity-forms 安全脉搏PulseO0O整理发布】
本文作者：PulseO0O
本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/4972.html
必填 您当前尚未登录。 登录？ 注册
必填（保密）