[1] 읽기 채널로서 타이밍/블라인드 전용; UNION 가짜-포스트 프리미티브는 브리지 내부에 존재하지만 추출 오라클로 노출되지 않습니다. [2] 단순 가용성 프로브(0) UNION SELECT …)는 객체 캐시 하이드레이션 중에 조용히 드롭되고, available()이 false를 반환하며, 전체 사전 인증 브리지가 중단됩니다—§1 참조. [3] 프로젝트 자체 README는 전제 조건 아래 "지속형 객체 캐시 없음(Redis/Memcached)"을 나열합니다. [4] Sploitus에 미러링된 공개 변형(아래 링크): 블라인드 읽기에 INTO OUTFILE 드로퍼를 RCE 단계로 추가하고, per_page=-1 카테고리 캐리어를 사용합니다. [5] OUTFILE RCE 경로는 가짜-포스트 렌더링에 의존하지 않으므로 객체 캐시가 이를 차단하지 않습니다—대신 MySQL FILE 권한과 공유 쓰기 가능 디렉터리가 필요합니다. 관리형 호스팅은 거의 항상 WordPress DB 사용자에게 FILE을 부여하지 않으며, secure_file_priv가 일반적으로 설정됩니다.

1. 객체 캐시 문제 (진정한 차별점)

UNION 가짜-포스트 프리미티브는 WP_Query가 행을 반환하는 방식에 따라 달라집니다:

• 전체 행 모드 - SQL이 완전한 wp_posts 행을 반환합니다. UNION으로 삽입된 행이 직접 WP_Post가 됩니다. 위조가 렌더링됩니다.
• 분할 (ID 전용) 모드 - SQL이 ID만 반환하고, 각 ID는 이후 (지속형) 객체 캐시/데이터베이스를 통해 하이드레이션됩니다. 위조된 행의 ID가 존재하지 않으므로 하이드레이션이 조용히 드롭합니다. 오류 없음, 위조 포스트 없음.

지속형 객체 캐시가 있는 호스트에서는 채워진 베이스 결과 집합이 WP_Query를 분할 모드로 밀어넣습니다. 공개 PoC에서 사용하는 표준 프로브:

는 베이스 집합을 채워진 상태로 둡니다(post_author NOT IN (0)이 모든 행과 일치). 따라서 객체 캐시 뒤에서는 위조된 행이 사라집니다: 가용성 프로브가 거짓 음성을 내고, available()이 false를 반환하며, 전체 사전 인증 브리지가 실제로 완전히 익스플로잇 가능한 호스트에서 "죽은" 것으로 보고됩니다. 공개 통합자는 동일한 경계를 "지속형 객체 캐시 없음"을 하드 전제 조건으로 나열하여 문서화합니다.

이 저장소는 대신 베이스 집합을 비웁니다:

베이스 행이 0개인 경우 위조된 행이 유일한 행입니다. 쿼리는 전체 행 모드를 유지합니다. 하이드레이션 조회가 실행되지 않습니다. 하나의 주입된 키워드(AND 1=0)가 객체 캐시 호스트에서 "UNION 채널 죽음"과 "전체 사전 인증 RCE" 사이의 전체 차이입니다—이들은 관리형 WordPress 운영 환경의 대다수입니다. 진단, 프로브 매트릭스(per_page × 인젝션 형태).

범위 참고: 블라인드/타이밍 읽기 채널은 객체 캐시에 민감하지 않습니다(SQL에서 행을 세는 것은 가짜-포스트 하이드레이션을 포함하지 않음). 따라서 모든 PoC의 블라인드 읽기는 어디서나 동작합니다. 다른 PoC에서 객체 캐시가 죽이는 것은 구체적으로 UNION에 의존하는 부분, 즉 인밴드 추출과 SQLi-to-admin 브리지입니다.

사례 연구에 문서화된 두 번째 관련 교훈: 두 채널이 모두 동작할 때, 인밴드 UNION 읽기를 권위 있는 것으로 취급하십시오—운영 타이밍 오라클은 지터 아래에서 비트 플립을 생성했으며, 인밴드 읽기는 해당 값을 명확히 결정했습니다.

2. RCE 경로 선택

공개 PoC 전체에 걸쳐 세 가지 사전 인증 RCE 경로가 존재합니다:

이 저장소는 브리지를 구현합니다: WordPress가 이미 가지고 있는 데이터베이스 권한 이상을 필요로 하지 않으며, DB와 웹 계층이 아무것도 공유하지 않을 때 동작하며, FILE 권한 경로가 의존하는 파일을 남기지 않습니다. 트레이드오프는 복잡성입니다—브리지는 7행의 오염된 포스트 그래프이며, 이는 정확히 §1의 객체 캐시 거짓 음성이 경로를 숨기는 데 사용된 부분입니다.

3. 허가된 사용을 위한 안전 기본값

실험실뿐만 아니라 허가 하에 운영 시스템에 대해 실행되도록 설계되었습니다:

• check는 기본적으로 비파괴적 - 수동 핑거프린트에 무해한 마커 배치; --confirm-sqli가 주어지지 않으면 SQL 페이로드가 전송되지 않습니다. 패치 후, 사라지는 마커 삼중항은 수정 검증으로도 사용됩니다.
• 귀속 태깅 - 모든 명령에 --user-agent가 있어 모든 익스플로잇 트래픽이 로그에서 식별 가능합니다(공개 도구가 기본값으로 설정하지 않는 참여 규칙).
• 자동 정리 - 웹셸은 무작위화된 경로 아래 토큰 잠금되어 자체 제거됩니다; 브리지로 생성된 관리자는 이후 삭제되고 그 내용은 빌려온 관리자 계정에 재할당됩니다. 정리 실패는 조용히 무시되지 않고 크게 보고됩니다.
• 요청 계정 - 모든 명령이 보낸 요청 수를 출력합니다.

4. 이 저장소가 주장하지 않는 것

• 새로운 취약점이 아닙니다. 두 버그 모두 공개된 CVE입니다. 이중 중첩 배치 형태, author_exclude → author__not_in 싱크, 가짜 WP_Post UNION 프리미티브, 커스터마이저 브리지 개념은 모두 공개된 기술입니다(계보는 아래에 명시됨).
• 새로운 익스플로잇 프리미티브가 아닙니다. 공개 지형에 대한 델타는: 운영 증거가 있는 제거된 베이스 객체 캐시 수정, 운영 안전 기본값, 탐지 문서화—기술의 참신함이 아니라 견고성과 운영 안전성입니다.
• IoC 문자열은 임의적입니다. 로그인 접두사, 플러그인 슬러그, 셸 마커, User-Agent 값은 모든 변형과 실행마다 다릅니다.

참조

• Icex0/wp2shell-poc - 이 저장소의 계열이 공유하는 전체 체인 구현 https://github.com/Icex0/wp2shell-poc
• sergiointel/wp2shell-poc - 첫 번째 공개 PoC; 크랙 없는 관리자 생성 기술의 원본 https://github.com/sergiointel/wp2shell-poc
• 0xsha/wp2shell - 6개의 공개 PoC를 통합한 단일 파일, Docker 실험실 및 버전×DB 매트릭스 포함(객체 캐시 전제 조건 문서화) https://github.com/0xsha/wp2shell
• OUTFILE 변형 (블라인드 읽기 + INTO OUTFILE 드로퍼), Sploitus에 미러링됨 https://sploitus.com/exploit?id=7CD079AD-E27B-5C54-A696-60635BFDB241
• 공개 PoC 및 체커의 선별된 목록 (방어자용) https://www.cyberkendra.com/2026/07/wp2shell-guide.html
• GHSA-ff9f-jf42-662q / GHSA-fpp7-x2x2-2mjf; WordPress 7.0.2 릴리스 공지 README.md 참조를 확인하세요.