wp2shell-checker

__        ______ ____  ____  _   _ _____ _     _     
\ \      / /  _ \___ \/ ___|| | | | ____| |   | |    
 \ \ /\ / /| |_) |__) \___ \| |_| |  _| | |   | |    
  \ V  V / |  __// __/ ___) |  _  | |___| |___| |___ 
   \_/\_/  |_|  |_____|____/|_| |_|_____|_____|_____|
wp2shell-checker  |  WordPress 批量 API 失同步检测器

概述

证据

免责声明 — 使用前请阅读

本工具仅用于授权的安全测试和防御性验证目的。

使用本工具即表示您同意自行全权负责确保您的使用符合适用法律及您所在组织的授权政策。

工作原理

WordPress 核心的 REST 批量 API（/wp-json/batch/v1）在解析一批子请求时会保持三个并行数组的同步。一个故意构造的畸形子请求会使它们失去同步——导致每个后续子请求都被使用错误的处理器和权限回调进行分发。

本工具发送一个精心构造的批量请求，并且仅检查响应代码，绝不会进入改变状态的操作。

判定逻辑

此外，该工具还会从响应头执行被动 WAF/CDN 指纹识别：

使用方法

# Basic scan
./wp2shell_checker.py https://your-site.com

# Multiple targets in one run
./wp2shell_checker.py https://site1.com https://site2.com https://site3.com

# Custom timeout
./wp2shell_checker.py https://your-site.com --timeout 20

# Show full raw request/response (payload, headers, body)
./wp2shell_checker.py https://your-site.com --raw

# Disable colors/animation (for logging to a file)
./wp2shell_checker.py https://your-site.com --no-color > scan_report.txt

所有参数

环境要求

• Python 3.7+
• 无外部依赖——仅使用标准库

修复方案

如果目标返回易受攻击：

1. 立即将 WordPress 更新至 7.0.2（或在 6.9 分支上更新至 6.9.5）。确认更新已实际生效。
2. 如果无法立即更新，请采取临时缓解措施：
   • 安装 Disable WP REST API 插件，以阻止未认证的 REST 访问。
   • 在 WAF/反向代理处阻止 /wp-json/batch/v1 和 ?rest_route=/batch/v1——两种形式都必须阻止。
   • 部署一个要求对批量路由进行认证的 must-use 插件。
3. 盘点范围内每一个 WordPress 实例——预发布站和活动站往往是最容易被遗漏的。

参考资料

许可证

本项目基于 MIT 许可证授权——详情请参阅 LICENSE 文件。