一条评论拿下整台服务器：复现WP-SHELLSTORM攻击链，看EDR如何六环全拦

原创

FYRE SHLD
FYRE SHLD

明焰安全

2026年8月20日 14:00
浙江

在小说阅读器读本章

去阅读

一条评论拿下整台服务器：

复现WP-SHELLSTORM攻击链，

看EDR如何六环全拦

2026年7月，SOCRadar披露WP-SHELLSTORM：一伙犯罪团伙利用WordPress插件文件上传漏洞（最突出的是Breeze缓存插件CVE-2026-3844），批量上传WebShell，目标涉及140万网站，实际确认的活跃WebShell超5700个。

攻击者靠上传漏洞把名为down.php（开源中文 WebShell）的后门落到服务器，随后运行命令、开反弹Shell、扫内网——和本文复现的链路一模一样。这不是假设，是2026年仍在真实发生的攻击。

我们在隔离靶机里完整跑通这条链路，再让EDR站在防御侧看它何时亮红灯。

一

靶机环境（全隔离）

漏洞只在开启「Host Files Locally–Gravatars」时可利用（默认关闭）。这正解释了为何扫描140万、实际失陷约2.5万——大多数站点没开这个口子。

二

六环攻击链复现

未认证评论注入

攻击者无需账号，直接在评论「作者名」里嵌入构造的头像URL载荷。

根因在fetch\_gravatar\_from\_remote()：用宽松正则从alt提取URL，下载时不做类型/扩展名校验（CWE-434）。

恶意文件落地（down.php 落盘）

文章页被渲染时触发下载，文件按basename写入Web可访问目录：

URL末尾 # 截断尾部，做足\"下载的是图片\"假象。

远程代码执行

直接请求落地的.php，攻击者以www-data拿到任意命令执行。

反弹Shell（绕过入站过滤）

让受害者服务器主动外连攻击机，而非等入站连接——出站常被防火墙默认放行，更稳更隐蔽。类比：别\"敲门进屋\"，让屋里人\"主动打电话出来\"。

内网扫描

用shell的/dev/tcp探测同网段，摸清内网资产清单，作为横向移动目标池。

伪装内核进程持久化

用exec-a把进程名伪装成[kworker/0:2]

ps难辨，但/proc不撒谎：真内核线程cmdline为空且无exe链接；伪装进程两者非空。

三

EDR：六环逐环拦截

逐环要点：

①流量侧虚拟补丁先压住扫描；

②WebShell引擎在文件落地即识别，未执行已告警；

③HIDS审计Web身份异常命令；

④出网白名单盯防反弹Shell（出站也须管控）；

⑤内网基线识别横向探测；

⑥/proc校验识破伪装进程。

EDR把\"文件落地、异常外连、伪装进程\"三处红灯做成7×24持续监控+一键隔离，这正是它和人工巡检的本质区别。

四

结语

六环只用了Breeze一个默认关闭的开关作支点，却串成\"入侵—种后门—转卖\"的流水线。防御不必硬扛每一环——只要在文件落地、异常外连、伪装进程几处亮红灯，整条链就断。

给站长/安全负责人的五条建议：

1、打补丁：Breeze升级至≥2.4.5；

2、关开关：关闭「Host Files Locally–Gravatars」；

3、禁执行：缓存目录禁止PHP执行；

4、盯出网：出站连接白名单化；

5、上EDR：文件威胁+入侵检测+出网管控，巡检变持续监控。

攻击工业化，防御也得工程化。

本文复现均在隔离靶机完成，未对任何非授权资产操作。CVE-2026-3844 正被真实滥用，请勿用于未授权目标。

客服电话丨400-0123-326

商务邮箱丨[email protected]

>>>  长按扫码 关注我们  <<<