Wp2shell-ioc-scanner

=== wp2shell IOC Scanner === Contributors: michaelkanda Author URI: https://designare.at Plugin URI: https://github.com/michael-kanda/Wp2shell-ioc-scanner Tags: security, incident-response, wordpress, shadow-admin, ioc Requires at least: 6.0 Tested up to: 7.0 Requires PHP: 7.4 Stable tag: 1.4.0 License: GPLv2 or later License URI: https://www.gnu.org/licenses/gpl-2.0.html

Триаж wp2shell, доступный только для чтения по умолчанию: состояние патчей, устойчивые артефакты базы данных и файловой системы, проверки учётных записей и экспорт доказательств.

== Описание ==

wp2shell IOC Scanner — это ограниченный помощник по триажу, доступный только для чтения по умолчанию, для CVE-2026-60137 и CVE-2026-63030.

Он проверяет:

• затронутые версии ядра WordPress;
• публичные и настраиваемые индикаторы учётных записей;
• скрытых и неожиданных администраторов (сырое сравнение ограничено 5000 пользователями);
• артефакты oEmbed, changeset, осиротевших usermeta и идентификаторов пользователей;
• официальные контрольные суммы ядра и дополнительные PHP-файлы ядра;
• PHP-подобные файлы в загрузках и недавно изменённые файлы плагинов/тем;
• обычные, сетевые активные, MU и drop-in пути плагинов;
• подозрительные параметры URL, отсутствующие активные плагины и имена хуков cron.

Результаты используют четыре уровня уверенности, чтобы рутинные обновления не представлялись как находки с высокой степенью уверенности по учётным записям или целостности. Работа с пользователями и файловой системой ограничена и кэшируется; запланированное сканирование обновляет кэш.

Экран аудита экспортирует ограниченные JSON-доказательства и результаты проверок CSV без хэшей паролей, токенов сеансов или паролей приложений. Он также определяет внешние журналы и доказательства хоста, которые необходимо собирать вне WordPress.

Отсутствие совпадений не означает полную чистоту. Сканер работает внутри WordPress, где скомпрометированный код может исказить результаты. Он не заменяет офлайн-сравнение файлов, журналы сервера/WAF/PHP, анализ процессов и сети или профессиональное реагирование на инциденты.

== Контролируемая очистка ==

Деструктивная очистка отключена по умолчанию. После экспорта доказательств и независимой проверки цели временно добавьте это в wp-config.php:

define( 'WP2S_IOC_ENABLE_CLEANUP', true );

Удаление требует специфичных для цели прав, nonce, ввода подтверждения DELETE с указанием типа, защиту от удаления себя/последнего администратора и дополнительное подтверждение перед удалением контента. Скрытые идентификаторы должны по-прежнему соответствовать свежему сырому сравнению. Удаление в Multisite заблокировано.

Локальная история активности не защищена от подделки. Действие wp2s_ioc_user_deleted может пересылать события на удалённый регистратор или SIEM.

== Установка ==

1. Загрузите каталог плагина в /wp-content/plugins/.
2. Активируйте плагин.
3. Откройте wp2shell IOC > Forensic Audit.
4. Запустите свежее сканирование и экспортируйте доказательства перед устранением.

== Часто задаваемые вопросы ==

= Доказывает ли это, что сайт чист? =

Нет. Он проверяет ограниченный список артефактов изнутри потенциально скомпрометированной среды выполнения.

= Удаляет ли он вредоносное ПО? =

Нет. Необязательная очистка удаляет только одну явно выбранную учётную запись. Она не удаляет файлы, бэкдоры, постоянство через cron или компрометацию операционной системы.

= Поддерживает ли он Multisite? =

Сканирование включает сетевые пути плагинов, но сравнение скрытых учётных записей и их удаление отключены, поскольку сетевые и сайтовые области пользователей различаются.

== Журнал изменений ==

= 1.4.0 =

• Добавлена классификация состояния патчей и проверки устойчивых артефактов базы данных.
• Добавлены проверки контрольных сумм ядра, дополнительных PHP-файлов ядра, загрузок, MU/drop-in/сетевых плагинов, тем и cron.
• Добавлены уровни уверенности и удалены непроверенные индикаторы по умолчанию.
• Добавлены ограниченные экспорты JSON-доказательств и результатов проверок CSV.
• Добавлены постраничные представления пользователей и очистки, а также запланированные кэшированные сканирования.
• Подтверждение стало индивидуальным для каждого администратора.
• Очистка стала добровольной/доступной только для чтения по умолчанию.
• Добавлены специфичное для цели право на удаление, ввод подтверждения с указанием типа, защита от удаления последнего администратора в сыром виде и повторная проверка скрытых идентификаторов.
• Отключены деструктивные действия и сравнение скрытых пользователей в Multisite.
• Локальный журнал аудита переименован в историю активности и добавлен хук удалённого журналирования.
• Добавлены проверки синтаксиса, регрессий, стандартов кодирования и совместимости с PHP на основе Composer.

= 1.3.1 =

• Соответствие Plugin Check и исправления экранирования.

= 1.3.0 =

• Добавлено сравнение скрытых учётных записей по сырой базе данных и очистка по идентификатору.

= 1.2.0 =

• Добавлены кэшируемый виджет панели управления и уведомления.

= 1.1.0 =

• Добавлены настраиваемые индикаторы и эвристики, не зависящие от имён.

= 1.0.0 =

• Первоначальный выпуск.

== Уведомление об обновлении ==

= 1.4.0 = Очистка теперь отключена по умолчанию и должна быть явно включена в wp-config.php после экспорта доказательств.