WPU

WPU — софт для работы с аккаунтами WordPress: чекер, загрузчик PHP-файлов, инжект PHP и JS, постер с скрытым массовым постингом (дорвеи, SEO, ссылочная масса), полубрут — если есть материал. Главное: для работы нужны аккаунты WordPress; подходят не только админ-права — автор, редактор и другие роли тоже годятся.

Цена Контакты Тема на exploit.in Телеграмм-канал Телеграмм-канал с логами обновлений

Интеграция с PlanB и LinksFarm

Если у вас уже есть PlanB или ссылочная ферма — WPU закрывает этап работы с WP-админками в общем конвейере:

  • PlanB: через WPU заливаете в админки уникальные PHP-шеллы и бэкдоры из PlanB; успешные загрузки автоматически уходят в PlanB по API — там чек, закрепление, соседние домены и дальнейшее управление шеллами
  • LinksFarm: загрузка плагина фермы или инжект клиентского PHP/JS кода в темы и плагины — доноры регистрируются на сервере фермы
  • PlanB и WPU на одном сайте не конфликтуют — разные сценарии закрепления

Для кого может быть полезен (варианты использования)

  • Слив траффика — фейк-капчи, инжект JS/PHP, редиректы и удержание кода на сайте
  • Крипто-скам — фейк-капчи и слив через заражённые сайты
  • Сеошникам и дорвейщикам — постер, массовые посты, наращивание ссылочной массы
  • Арбитраж и гембл — постинг контента на доступах (гембл и т.д.)
  • Работа с базами WP — чекер, сортировка по правам, отсеивание мёртвых и неподходящих
  • Загрузка шеллов и PHP — разные способы заливки файлов через админку
  • Кастомные плагины — установка плагинов с нужным функционалом на доступах
  • Владельцам PlanB — массовая заливка PHP-шеллов из PlanB в WP-админки и автопередача готовых бэкдоров обратно в PlanB для чека, закрепления и управления
  • Владельцам LinksFarm — загрузка клиента фермы и инжект кода на доступах: плагин, PHP или JS в файлы CMS

Основные возможности

  • Загрузка PHP файлов в админки 4-мя способами. Шеллы и бэкдоры из PlanB — mbd_v3, cmd_hex, fputs и др.; после заливки управление в PlanB. Либо любые файлменеджеры для доступа к файловой системе хоста.
  • Интеграция с PlanB: автозагрузка бэкдоров из PlanB, API-отправка результатов, синхронизация прокси «Брать из WPU»
  • Интеграция с LinksFarm: установка плагина фермы или инжект клиентского PHP/JS — доноры подключаются к серверу фермы
  • Чекер прав доступов: делит пользователей на категории — админ, автор, редактор, участник, подписчик.
  • Постер: скрытый массовый постинг — дорвеи, слив, ссылочная масса — подробнее ниже
  • Установка и активация ваших плагинов на доступах! — от слива трафика и скрытых плагинов до загрузки клиента ссылочной фермы как плагина
  • Чекер наличия шопа WooCommerce на сайте и сбор данных об ордерах.
  • Инжект JavaScript и PHP кода в файлы тем и плагинов — подходит для слива трафика, размещения клоак, фейковых каптч, фишинга, hijacking и др.
  • Инструкция под Linux (Debian), опционально имеется возможность настроить работу через TOR домен.
    Написан на Python (async) и PHP (Laravel). Весь проект open source.
  • English version available (including README and manual).

Основные фичи WPU

  • Распознавание и решение капч: hCaptcha, reCAPTCHA v2, reCAPTCHA v3, а также 3 самые популярные математические капчи.
  • Обход WAF: от Cloudflare, Imunify360, Wordfence, Astra, All-in-one Wordpress и др.
  • Глубокие настройки: на повторные попытки загрузки, проверок, смены прокси, лимиты и другие настройки (можно как быстро проходить большие базы с низкими лимитами, так и медленно обрабатывать мелкие базы)
  • Текущие методы загрузки:
    • PHP файл под видом zip плагина
    • Плагин
    • Тема
    • Установка плагина типа filemanager (если не было), загрузка, удаление плагина (если не было)
  • Рандомные имена: Плагины, темы и файлы загружаются под случайными именами (сгенерировано из топ 1000 названий). Если тема или плагин с текущим названием уже существует — загрузится под новым.
  • Чекер прав доступов: Подробнее ниже
  • Инжект JS кода: в файлы активных тем и плагинов
  • Сохранение списков админок: Сохраняются списки успешных админок и тех, где больше не стоит пытаться (critical error, нет прав админа, сообщение о скомпрометированном пароле и т.д.). При повторных загрузках такие пропускаются.
  • Подробное логирование: Логирование по каждому сайту с возможностью сохранения всех HTTP ответов (тела и заголовков) по желанию.
  • Realtime обновление статы: Отображение скорости работы, успешных результатов и других метрик в реальном времени, а также удобная админка.
  • Поддержка больших баз: Без ограничений на объём данных.
  • Отключение плагинов безопасности: Автоматическое отключение списка из 40+ популярных плагинов безопасности (также можно указать свои плагины).
  • Обновления по кнопке: В админке можно обновить систему нажатием одной кнопки.
  • Прокси-сокс чекер: Чекер прокси-серверов по крону, парсер публичных сервисов (собирает 300-600 штук). Прокси обновляются в процессе работы.
  • Мануал и инструкции: Подробные инструкции по использованию и установке доступны в админке.

Фичи постера

  • Скрытый постинг — страницы в индексе, в админке их не видно.
  • Два движка — REST API и XML-RPC; если один путь не проходит, пробуем другой.
  • ЧПУ из коробки — перед постингом переключаем «Простые» ссылки на /%postname%/.
  • Массово по базе — тысячи доменов параллельно, ретраи и автопереключение на прокси при 403/WAF.
  • Round-robin — каждый пост на свой домен; неудачные — вторая фаза по остальным доменам.
  • Spintax в title, slug с суффиксами, даты «задним числом», рубрики на автомате.
  • Проекты — только новые домены; несколько аккаунтов на домен, если один не зашёл — берём следующий.
Poster Features

Фичи инжекта JS

  • Для проверки успешности загрузки нужно указывать строку для проверки.
  • Инжект только в проверенные базы с правами админа (используется встроенный чекер).
  • WPU автоматически выполнит инжект в новые аккаунты с правами админа, если включить эту опцию. Настроив инжект 1 раз, можно просто подкидывать новые базы.
  • Автономный чекер вашего JS кода работает по крону, с гибкими настройками.
  • Автономный перезаливщик JS кода, если его удалили.
  • Код, не найденный через чекер, будет удалён не сразу, а через указанный промежуток времени (если сайт временно не отвечает или в случае сетевых ошибок).
  • Автоочистка плохих результатов через указанный промежуток времени.
  • Возможность создания задачи на удаление ранее загруженного JS кода.
  • Инжект JS кода в посты с использованием XMLRPC! Для инжекта в посты через XMLRPC не обязательны админ-права (можно инжектить с правами редактора, автора).
JS Inject Features

Фичи инжекта PHP

  • Инжект кода позволяет ему работать на всём сайте.
  • Для проверки успешности загрузки используется запрос с cookie.
  • Инжект только в проверенные базы с правами админа (используется встроенный чекер).
  • WPU автоматически выполнит инжект в новые аккаунты с правами админа, если включить эту опцию.
  • Автономный чекер вашего PHP кода работает по крону, с гибкими настройками.
  • Автономный перезаливщик PHP кода в случае его удаления.
  • Код, не найденный через чекер, будет удалён не сразу, а через указанный промежуток времени.
  • Автоочистка плохих результатов через указанный промежуток времени.
  • Возможность создания задачи на удаление ранее загруженного PHP кода.
PHP Inject Features

Фичи чекера доступов

  • Определяет права аккаунтов и сохраняет по спискам: админ, автор, редактор, участник, подписчик
  • Сохраняет по спискам также результаты, где: удалось залогиниться, не удалось залогиниться, сайт сломан (critical error), не подходит пароль
  • Собирает информацию, если на сайте есть магазин WooCommerce и информацию с шопа (количество ордеров всего, за месяц, гео и т.д.).
Checker Features

Гибкие настройки

  • Основные
  • Загрузчик
  • Чекер
  • Постер
  • Инжект JS
  • Инжект PHP
  • Настройки HTTP
  • Настройки Proxy
Settings Features

Отзывы клиентов с exploit и xss (все обновления там же)

Review 1
Review 2
Review 3
Review 4
Review 5
Review 6
Review 7
Review 8

WPU

2000$ /год

  • Цена за год обновлений
  • Открытый код, с комментариями
  • Добавим любые ваши фичи и пожелания (в порядке очереди). Бесплатно, если это будет полезно кому-то еще или улучшит пробив.
  • Любые консультации по сливу траффа (готовые шаблоны для JS/PHP инжекта и синхронизации с кейтаро) и монетизации

Контакты

Контакты

6289180988455FEAD792EEC0CB31FE1421136D98A718BF6A74B9E9EA4E98B461F14EC0E0A3A5

8B4BC7D7E96EF9DC2164FCF5BAA7CE39DE10E1B28D61DBE8268C71C7A413D879A3345AE54EFA (второй кодер)