Ultimatum - 从 WPScan 到 /dev/tcp

客户发来一份 Linux 取证包，说 WordPress 博客被打了。我切 Apache 日志，先筛出 200 状态码。

08:21，23.106.60.163 用 WPScan 扫了一圈。它查用户、翻 readme.html，还探老路径。这工具默认不伪装 UA，等于自己签了到。

日志里不止一个坏人。212.224.107.86 更早翻目录；128.105.112.41 还塞 Mozi 僵尸网络蠕虫。抓着第一个 IP 追，整个下午就废了。

真正动手在 08:33:59。同一个 IP 冒出 python-requests，接着是 Secragon Offensive Agent。搜这个 UA，直接命中 CVE-2023-3460 的 PoC。

Ultimate Member 插件没校验角色数据。未认证用户能给自己塞管理员权限。CVSS 9.8，利用代码才十几行。补丁是压力下赶出来的。

日志不记 POST body，加管理员这步读不到。但 PoC 把凭据写死了：用户名 secragon，密码 OffensiveSecurity123。问后门账号，报它就对了。

顺着线索往下挖，攻击者还写了 webshell。全盘时间线、Webshell 特征库和 socket 快照，正好拼成完整证据链。