No descriptionhttps://december-kappa.vercel.apphttps://december-kappa.vercel.app/post/sql1sql1sql注入Wed, 12 Aug 2026 16:00:00 GMT<h2>1.漏洞概述：<a href="#1漏洞概述"><span></span></a></h2> <p>目标站点运行 WordPress 6.9.4，存在 CVE-2026-63030（wp2shell）路由混淆漏洞。攻击者无需任何认证，通过向 /wp-json/batch/v1 发送特制的双层嵌套批处理请求，可绕过 REST API 路由校验，实现未授权布尔盲注。</p> <h2>2.利用过程<a href="#2利用过程"><span></span></a></h2> <p>探测漏洞是否存在，发现响应 HTTP 207，同时出现三个标记，路由混淆存在 </p><figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071103852.png" alt="" loading="lazy" /></figure><p></p> <p>布尔盲注True：X-WP-Total回显1293 </p><figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071106282.png" alt="" loading="lazy" /></figure> 布尔盲注False：X-WP-Total回显28，找到了布尔盲注真假值的回显区别，以下以注出库名为演示 <figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071107160.png" alt="" loading="lazy" /></figure><p></p> <ol> <li>探测数据库长度，length=9时回显1293，说明库名长度为9 <figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071108077.png" alt="" loading="lazy" /></figure></li> <li>用布尔盲注二分法确认库名各字符acsii值，以下是第一位，当为101时X-WP-Total回显1293，说明第一位是e <figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071109142.png" alt="" loading="lazy" /></figure> 逐字符探测，最终得到数据库名为exampledb</li> </ol> <p>同样方法探测管理员账号名： 首先验证长度， </p><figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071109142.png" alt="" loading="lazy" /></figure> 长度为4 提取第一个字符， <figure><img src="https://cpx3124004200.oss-cn-guangzhou.aliyuncs.com/test/202609071112729.png" alt="" loading="lazy" /></figure> asc为116，是t。 逐字符探测，得到管理员账户名为test<p></p> <h2>3.修复建议<a href="#3修复建议"><span></span></a></h2> <p>升级 WordPress：从 6.9.4 升级到 6.9.5+，修复 CVE-2026-63030 路由混淆漏洞</p> <p>禁用 REST API 批处理：add_filter(‘rest_allow_batch’, ‘__return_false’);</p> <p>​</p>category:漏洞挖掘tag:sql注入tag:edu