Wp2shell-ioc-scanner

=== ماسح wp2shell IOC === المساهمون: michaelkanda URI المؤلف: https://designare.at URI الإضافة: https://github.com/michael-kanda/Wp2shell-ioc-scanner الوسوم: security, incident-response, wordpress, shadow-admin, ioc يتطلب على الأقل: 6.0 تم الاختبار حتى: 7.0 يتطلب PHP: 7.4 العلامة المستقرة: 1.4.0 الترخيص: GPLv2 أو أحدث URI الترخيص: https://www.gnu.org/licenses/gpl-2.0.html

فرز wp2shell للقراءة فقط افتراضيًا: حالة التصحيح، وأدلة قاعدة البيانات ونظام الملفات الدائمة، وفحوصات الحسابات، وتصدير الأدلة.

== الوصف ==

ماسح wp2shell IOC هو أداة فرز محدودة النطاق وقابلة للقراءة فقط افتراضيًا لـ CVE-2026-60137 و CVE-2026-63030.

يقوم بالتحقق من:

• إصدارات WordPress الأساسية المتأثرة؛
• مؤشرات الحسابات العامة والقابلة للتكوين؛
• المسؤولين المخفيين وغير المتوقعين (المقارنة الخام محدودة بـ 5,000 مستخدم)؛
• أدلة oEmbed وchangeset وorphaned-usermeta ومعرفات المستخدم؛
• المجاميع الاختبارية الرسمية للنواة وملفات PHP الإضافية في النواة؛
• الملفات الشبيهة بـ PHP في uploads وملفات الإضافات/القوالب المعدلة مؤخرًا؛
• مسارات الإضافات العادية والنشطة على الشبكة وMU وdrop-in؛
• خيارات عناوين URL المشبوهة والإضافات النشطة المفقودة وأسماء خطافات cron.

تستخدم النتائج أربعة مستويات ثقة بحيث لا تُعرض التحديثات الروتينية كاكتشافات عالية الثقة للحسابات أو السلامة. أعمال المستخدم ونظام الملفات محدودة ومخزنة مؤقتًا؛ ويقوم فحص مجدول بتحديث ذاكرة التخزين المؤقت.

تقوم شاشة التدقيق بتصدير أدلة JSON محدودة ونتائج فحوصات CSV بدون تجزئات كلمات المرور أو رموز الجلسات أو كلمات مرور التطبيقات. كما تحدد السجلات الخارجية وأدلة المضيف التي يجب جمعها خارج WordPress.

عدم وجود تطابق ليس إعلانًا بالسلامة. يعمل الماسح داخل WordPress، حيث يمكن للكود المخترق تزوير النتائج. لا يحل محل مقارنة الملفات دون اتصال، أو سجلات الخادم/WAF/PHP، أو مراجعة العمليات والشبكة، أو الاستجابة المهنية للحوادث.

== التنظيف المتحكم به ==

التنظيف التدميري معطل افتراضيًا. بعد تصدير الأدلة والتحقق المستقل من الهدف، أضف هذا مؤقتًا إلى wp-config.php:

define( 'WP2S_IOC_ENABLE_CLEANUP', true );

يتطلب الحذف صلاحيات خاصة بالهدف، وnonce، وتأكيد حذف مكتوب بنوع محدد، وحراس للنفس/آخر مسؤول، وتأكيد إضافي قبل حذف المحتوى. يجب أن تتطابق المعرفات المخفية مع مقارنة خام جديدة. حذف الشبكات المتعددة محظور.

سجل النشاط المحلي ليس مقاومًا للعبث. يمكن لإجراء wp2s_ioc_user_deleted إعادة توجيه الأحداث إلى مسجل بعيد أو SIEM.

== التثبيت ==

1. ارفع مجلد الإضافة إلى /wp-content/plugins/.
2. فعّل الإضافة.
3. افتح wp2shell IOC > Forensic Audit.
4. قم بتشغيل فحص جديد وتصدير الأدلة قبل المعالجة.

== الأسئلة الشائعة ==

= هل يثبت هذا أن الموقع نظيف؟ =

لا. يتحقق من قائمة محدودة من الأدلة من داخل بيئة التشغيل التي قد تكون مخترقة.

= هل يزيل البرامج الضارة؟ =

لا. التنظيف الاختياري يزيل مستخدمًا واحدًا محددًا فقط. لا يزيل الملفات أو الأبواب الخلفية أو استمرارية cron أو اختراق نظام التشغيل.

= هل يدعم الشبكات المتعددة؟ =

يشمل الفحص مسارات إضافات الشبكة، لكن مقارنة الحسابات المخفية والحذف معطلة لأن نطاقات مستخدمي الشبكة والموقع مختلفة.

== سجل التغييرات ==

= 1.4.0 =

• أضيف تصنيف حالة التصحيح وفحوصات أدلة قاعدة البيانات الدائمة.
• أضيفت فحوصات المجاميع الاختبارية للنواة وملفات PHP الإضافية في النواة وuploads وMU/drop-in/network-plugin والقوالب وcron.
• أضيفت مستويات الثقة وأزيلت المؤشرات الافتراضية غير الموثقة.
• أضيف تصدير أدلة JSON محدود ونتائج فحوصات CSV.
• أضيفت عروض المستخدمين والتنظيف المقسمة بالإضافة إلى الفحوصات المخزنة المجدولة.
• جُعل الإقرار لكل مسؤول على حدة.
• جُعل التنظيف اختياريًا/للقراءة فقط افتراضيًا.
• أضيفت صلاحية حذف خاصة بالهدف وتأكيد مكتوب وحراسة خام لآخر مسؤول وإعادة تحقق من المعرفات المخفية.
• عُطلت الإجراءات التدميرية ومقارنة المستخدمين المخفيين على الشبكات المتعددة.
• أُعيدت تسمية سجل التدقيق المحلي إلى سجل النشاط وأُضيف خطاف تسجيل بعيد.
• أضيفت فحوصات بناءً على Composer للصياغة والانحدار ومعايير الترميز وتوافق PHP.

= 1.3.1 =

• الامتثال لفحص الإضافات وتصحيحات الهروب.

= 1.3.0 =

• أضيفت مقارنة الحسابات المخفية من قاعدة البيانات الخام والتنظيف بالمعرف.

= 1.2.0 =

• أُضيفت أداة لوحة معلومات مخزنة مؤقتًا وإشعارات.

= 1.1.0 =

• أضيفت مؤشرات قابلة للتكوين واستدلالات مستقلة عن الأسماء.

= 1.0.0 =

• الإصدار الأولي.

== إشعار الترقية ==

= 1.4.0 = التنظيف معطل الآن افتراضيًا ويجب تمكينه صراحةً في wp-config.php بعد تصدير الأدلة.