Взломать вордпресс как: Как взламывают WordPress и что с этим делать?

Насколько легко взломать сайт на WordPress? — Хабр Q&A

По разному.
Сам по себе wordpress достаточно стабильный устойчивый продукт, и как всегда в таких продуктах уязвимости быстро отслеживаются и ликвидируются.
Поэтому он в этом плане ничуть не хуже и не лучше других крупных платформ.
С одной стороны — код сложный, а чем сложнее код тем больше вероятности ошибок и уязвимостей.
Но все уязвимости оперативно устраняются.
Теоретически взломать можно все, но практически — все простые и опасные уязвимости уже закрыты или будут моментально закрыты после обнаружения. Поэтому бояться не стоит.
Глупых ошибок свойственным движкам написанным новичками там нет. Поэтому взломать его очень сложно.
С плагинами ситуация хуже. Один дырявый плагин — и вся безопасность коту под хвост.

Но самая большая проблема — wordpress позиционируется как простой и легкий в освоении продукт для конечного пользователя. Не нужно быть профессионалом чтобы сделать сайт на вордпресс.

В итоге большинство сайтов на этом движке делают непрофессионалы, люди не понимающие как и что там работает, и не имеющие представления о безопасности или небезопасности тех или иных вещей. Что можно делать, а что нельзя.
По этой причине множество сайтов на wordpress являются очень дырявыми.

Https это протокол передачи данных — его задача обеспечить безопасность данных передаваемых между сайтом и пользователем.
К безопасности самого сайта он вообще не имеет никакого отношения.

Ответ написан более трёх лет назад

Про сам вордпресс и его код и плагины вам ответили, а по https поясню:
Https нужен для того, что соединение между клиентским устройством (комьютер, телефон и т.п.) и веб-сервером было зашифровано, а значит будут зашифрованы и передаваемые данные.

Что это даёт?
Если вы логинитесь в админку сайта по обычному http, то на пути от вашего устройства до веб-сервера сетевые пакеты можно перехватить и прочитать переданные вами данные (логин, пароль) в открытом виде в виде текста. Если будет использован https, то сетевые пакеты так же перехватываются, но прочитать их содержимое можно только если расшифровать его закрытым ключом, который хранится на веб сервере. Сами сообщения зашифровываются на стороне клиента открытым ключом, который веб-сервер передаёт любому, установившему соединение.
При передаче данных обратно, от сервера к клиенту, используется сгенерированная на клиенте пара открытый-закрытый ключ. Тут уже веб-сервер шифрует сообщения открытым ключам клиента, а клиент расшифровывает их своим закрытым.
Т.е. ключи для расшифровки сообщений текущей сессии знают только клиент и сервер.

И, да, не слушайте Site Developer, где он в комментариях говорит по поводу того, что клиент не знает, что к нему прилетает, потому что как раз клиентское устройство знает, что к нему прилетает.

Ответ написан более трёх лет назад

Насколько легко взломать сайт на WP, если используются более-менее проверенные плагины?

Если плохая прокладка между клавиатурой и креслом, то легко.
А так даже у гуглов, фейсбуков и прочих твиттеров базы юзеров уводят. И у Пентагона говорят тоже документацию сливают. 🙂

Сильно ли влияет HTTPS на защиту?

Вообще не влияет. https не для сайтов, а для юзеров. И то не для всех и не всегда полезно. (от него больше вреда на самом деле)

Ответ написан более трёх лет назад

Взломанные сайты WordPress защищаются злоумышленниками (Мнение специалиста WordFence

Уязвимость нулевого дня была недавно обнаружена в популярном плагине WordPress, и теперь киберпреступники, использующие эту уязвимость, начали защищать взломанные ими сайты от атак других злоумышленников.

Брешь в безопасности была впервые обнаружена охранной фирмой Defiant, которая зафиксировала атаки на более чем 1,7 млн ​​сайтов WordPress, на которых были установлены уязвимые версии плагина File Manager. Однако за последнюю неделю количество атакованных сайтов превысило 2,6 миллиона.

В случае эксплуатации уязвимость позволяет злоумышленникам загружать вредоносные файлы PHP и выполнять произвольный код на сайтах WordPress, которые не обновлены до последней версии File Manager.

Разработчики плагина создали и выпустили патч для уязвимости с выпуском File Manager 6.9. К сожалению, многие владельцы сайтов еще не обновили плагин до последней версии, что сделало их сайты уязвимыми для атак.

Согласно новому отчету Defiant, в настоящее время многочисленные киберпреступники нацелены на сайты, на которых установлены уязвимые версии плагина File Manager. Тем не менее, инженер по обеспечению качества Wordfence Рам Галл объяснил, что двое из этих злоумышленников начали защищать взломанные сайты, сказав:

«Мы видели доказательства того, что в этих атаках принимали участие несколько злоумышленников, в том числе незначительные усилия злоумышленника, который ранее отвечал за атаки на миллионы сайтов, но два злоумышленника были наиболее успешными в использовании уязвимых сайтов, и в настоящее время оба злоумышленники защищают паролем уязвимые копии файла connector. minimal.php ».

Один из злоумышленников, известный под ником bajatax, – марокканский злоумышленник, известный тем, что крадет учетные данные пользователей с веб-сайтов электронной коммерции PrestaShop. После взлома сайта WordPress bajatax внедряет вредоносный код, который собирает учетные данные пользователя через Telegram, когда владелец сайта входит в систему, и эти учетные данные затем продаются лицу, предложившему наивысшую цену. Другой злоумышленник внедряет бэкдор, замаскированный под ICO-файл, в случайную папку, а также в корневой веб-сайт сайта, чтобы гарантировать, что они могут продолжить доступ к взломанному сайту.

Defiant заметил, что оба злоумышленника используют пароли для защиты уязвимого файла connector.minimal.php на ранее зараженных сайтах. Галл предоставил дополнительную информацию о том, как эти два злоумышленника защищают взломанные сайты WordPress, сказав:

«Наша команда по очистке сайтов вычистила ряд сайтов, скомпрометированных этой уязвимостью, и во многих случаях присутствуют вредоносные программы от нескольких злоумышленников. Вышеупомянутые злоумышленники добились наибольшего успеха благодаря своим усилиям по блокировке других злоумышленников, и коллективно используют в своих атаках несколько тысяч IP-адресов ».

Владельцы сайтов WordPress, у которых установлен плагин File Manager, должны немедленно обновить его до версии 6.9, чтобы не стать жертвой любых потенциальных атак, особенно сейчас, когда киберпреступники активизировали свои усилия.

Источник записи: https://www.techradar.com

Взлом сайтов WordPress ради удовольствия и прибыли | Часть-1 [ Вода ] | Кришна Агарвал

Привет, ребята, я Кришна Агарвал (Kr1shna 4garwal) из Индии 🇮🇳. Обычный охотник за ошибками и так называемый исследователь безопасности 🙂

Сегодня мой день рождения, поэтому я планировал отпраздновать его по-другому, поэтому я пишу о некоторых распространенных уязвимостях и неправильных конфигурациях, которые я нашел в своем путешествии по поиску ошибок в эта статья 🙂 Надеюсь, вы узнаете что-то новое из этой серии.

Я разделил эту статью на две части. первый — Вода, а второй — Огонь. Это часть 1 [Вода] серии «Взлом WordPress ради удовольствия и прибыли».

В этой серии я постараюсь упомянуть все распространенные ошибки конфигурации и уязвимости WordPress, которые я знаю.

Взламываем сайты WordPress ради удовольствия и прибыли

Давайте взломаем WordPress ради удовольствия и выгоды 🙂

Итак, вы все уже знаете о WordPress, и если вы не знаете, что это такое, то вот краткое введение в WordPress

0x01 — Что такое WordPress?

WordPress — это система управления контентом (CMS), позволяющая размещать и создавать веб-сайты. WordPress содержит архитектуру плагинов и систему шаблонов, поэтому вы можете настроить любой веб-сайт в соответствии с вашим бизнесом, блогом, портфолио или интернет-магазином.

0x02 — Перечислить поддомены цели

В моем предыдущем обзоре я упомянул некоторые методы для перечисления поддоменов. Вы можете проверить это здесь .

0x03 — Обнаружение WordPress

Прежде всего, нам нужно узнать, использует ли наша цель WordPress или нет. Существует множество методов обнаружения WordPress. Я упомянул два лучших метода для этого.

0x02.1 — Via Wappalyzer Extension

для Chrome

для Firefox

простой использование Wappalyzer

0x02.2 — Поис 9

0015 Nuclei

Nuclei — это бесплатный сканер уязвимостей на основе шаблона yaml с открытым исходным кодом, в шаблонах ядер по умолчанию. есть шаблон с именем wordpress-detect.yaml, который находится в папке технологий ядер-шаблонов. Вы можете запустить этот шаблон в списке вашей цели, чтобы обнаружить сайты WordPress.

кот жив.txt | kernel -t ~/nuclei-templates/technologies/wordpress-detect.yaml

0x04 — Давайте начнем взлом

После обнаружения поверхности атаки WordPress мы разделим ее на ручной и автоматизированный подход…

Эта часть будет полностью посвящена ручному подходу, но вы также можете автоматизировать его.

0x05 — Ошибка 0x1 [Перечисление имени пользователя через REST API]

WordPress включает REST API, который можно использовать для вывода информации о зарегистрированных пользователях в установке WordPress. REST API предоставил пользовательские данные для всех пользователей, которые создали публикацию общедоступного типа. Это можно рассматривать как P4 в соответствии с Bugcrowd VRT [Перечисление -> Имена пользователей -> Не брутфорс], но мы можем увеличить это до P1, P2, связав с ним ошибку 0x2.

Мы можем перечислить имена пользователей из следующей конечной точки https://domain.tld/wp-json/wp/v2/users

Если wp-json/wp/v2/users запрещен (403), то вы следует попробовать следующие обходы:

/wp-json/wp/v2/users/n

/wp-json/?rest_route=/wp/v2/users/

/wp-json/?rest_route=/wp/ v2/users/n

/?author=n

n означает числа типа 1,2,3,4…

Привет дорогой Алексей 😼

0x06 — Ошибка 0x2 [Общий пароль панели администратора]

Примечание. Пожалуйста, проверьте политику вашей цели, не пытайтесь проводить эту атаку, если грубая форсировка выходит за рамки.

Чтобы получить доступ к панели администратора сайта WordPress в качестве администратора, нам нужны имя пользователя и пароль. Мы можем получить имя пользователя сверху ошибка 0x1.

Теперь для пароля мы подберем его с помощью BurpSuite и Hydra 🙂

0x06.1 — BurpSuite

1. Откройте целевой сайт WordPress в настроенном браузере BurpSuite
2. добавьте /wp-login.php к вашему целевому веб-сайту URL
3. введите произвольные учетные данные (admin:admin)
4. перехватите этот запрос и отправьте его злоумышленнику добавьте значение pwd=§admin§
5. откройте вкладку Payloads, введите свой список слов
6. Начать атаку

После атаки!

(На приведенном выше снимке экрана моя цель установила защиту ограничения скорости на wp-login.php, поэтому я ввожу только один пароль, потому что я уже получил пароль от Github recon) 9&wp-submit=Войти&testcookie=1:S=Местоположение” -l kr1shna -P /usr/share/wordlists/hack0x05. txt -f привет гидре! 🤩

0x07 — Ошибка 0x3 [Утечка файла конфигурации]

Файл wp-config.php содержит информацию, необходимую WordPress для подключения к базе данных, такую ​​как имя базы данных, хост базы данных, имя пользователя и пароль.

Иногда разработчики забывают скрыть этот важный файл от рабочего сервера. Поэтому, если вы можете получить доступ к файлу wp-config.php и он содержит имя базы данных, хост, имя пользователя и пароль, это означает высокую степень серьезности.

https://domain.tld /wp-config.php

К сожалению, в большинстве случаев это запрещено, но вы можете попробовать один и тот же файл с разными расширениями.

Например:

/wp-config,txt

/wp-config.zip

/wp-config.md

/wp-config.php_orig

/wp-config.bak

wp-config. txt

0x08 — Ошибка 0x4 [Утечка журналов отладки]

Иногда разработчики оставляют отладку включенной на рабочем сервере. Таким образом, все журналы сайта WordPress хранятся в файле debug.log в каталоге /wp-content. Это может привести к полному раскрытию внутреннего пути и иногда содержит конфиденциальную информацию.

Вы всегда должны проверять наличие wp-content/debug.log

, например https://domain.tld/wp-content/debug.log

wp-content/debug.log

0x09 — Ошибка 0x5 [Файлы резервных копий Leak]

Существует риск того, что разработчики сделали резервную копию domain.tld, но по ошибке сохранили ее на рабочем сервере; это может быть серьезной проблемой.

Этот файл резервной копии можно найти где угодно.

На этот раз вы можете вызвать помощь FFUF. Это фантастический инструмент, созданный Joohoi для фаззинга веб-приложений.

Если нашей целью является domain.tld, то именем файла резервной копии будет domain.* (rar, tar.gz, sql.tar, tar.bzip2, sql.bz2, 7z, tar, tar.bz2, sql.7z, bak и т.д.)

Прежде всего, нам нужны все расширения, сохраненные в файле. Вы можете использовать мой файл 🙂

А затем начать FUZZING с FFUF

 Команда:  ffuf -u https://domain.tld/domain.FUZZ -w hack.txt -o ext-fuzz.txt -c  

Багов нет 🙁 Sed Lyf

Думаю этого достаточно для этой части, продолжу эту серию в 2023 если вы почерпнете какие то знания из этой части. в остальном все нормально 😉

Если я что-то пропустил в этой статье, пожалуйста, напишите мне в Директ или оставьте комментарий. Я добавлю его с вашим именем 🙂

Вывод: «Не думайте, что вы единственный, кто получает несколько дубликатов и N/A. С этим сталкиваются все. Не сдавайся; это только фаза процесса».

Приносим извинения за любые грамматические ошибки 🙏.

Отдельное спасибо @Parag_Bagul за корректуру.

Директ всегда открыт для вопросов, помощи, сотрудничества и предложений 🙂

Стань моим другом:

• com/kr1shna4garwal/
• Twitter — https://twitter. com/kr1shna4garwal

Спасибо, что потратили свое драгоценное время на чтение моих статей 😉

Если вы нашли это ценным и потратили 10 минут на чтение этого и что-то узнали, а затем похлопайте👏 и оставьте комментарий, нажмите кнопку «Подписаться» для будущих статей и поделитесь этим со своими друзьями и сообществом в области информационной безопасности.

мы встретимся во второй части этой серии

продолжай взламывать, продолжай учиться!

Подписание!

От Infosec Writeups: Каждый день в Infosec появляется много информации, за которой трудно уследить. Подпишитесь на наш еженедельный информационный бюллетень, чтобы БЕСПЛАТНО получать все последние тенденции информационной безопасности в виде 5 статей, 4 тем, 3 видео, 2 репозиториев и инструментов GitHub и 1 оповещения о вакансиях!

Как взломать WordPress?

Прежде чем начать вести этот блог, сначала посетите wordpress перечисление блог.

Исследователи обнаружили продолжающуюся вредоносную рекламу (интернет-реклама для распространения вредоносного ПО), направленную на заражение миллионов веб-сайтов WordPress с помощью бэкдора и использование различных уязвимостей плагинов WordPress. сотни плагинов WordPress установлены разными разработчиками по всему миру. Киберпреступники запускают полезную нагрузку, используя уязвимости, которые находятся в некоторых из самых популярных плагинов WordPress, и внедряя вредоносные скрипты в неисправленный веб-сайт WordPress.

Злоумышленник: Kali Linux
Цель: WordPress

Содержание

1.Брутфорс формы wp-login.php
2.Брутфорс Вход через xmlrpc.php
3.Отказ в обслуживании (DOS) через xmlrpc. php
4. Использование плагина WordPress
5. Использование примера темы WordPress
6. Анализ и захват учетных данных при незащищенном входе в систему
7. Взлом инструментов системного администрирования
8. Обнаружение контента
9. Уязвимое серверное программное обеспечение

1. Брутфорс wp-login.php Форма

Наиболее распространенной атакой на пользователя WordPress является подбор пароля учетной записи для получения доступа к серверной части системы WordPress. Другие способы взлома пароля включают перехват пароля в виде открытого текста через сеанс входа в систему HTTP или даже получение учетных данных от регистратора ключей на рабочей станции администратора WordPress. Учетные записи с доступом на уровне администратора являются наиболее востребованными из-за количества вред, который может совершить пользователь с правами администратора; добавление командной оболочки PHP или вредоносного javascript непосредственно через интерфейс администратора — распространенные примеры.

С именами пользователей, которые мы собрали во время сбора информации, мы можем начать (или просто попробуйте admin). Взгляните на форму входа /wp-login.php , обратите внимание, как неудачные попытки входа подтверждают имя пользователя при вводе неправильного пароля. Это очень полезно для злоумышленника…. это также делает вещи более удобными для конечного пользователя, который забыл свое имя пользователя и пароль. Эта «функция» обсуждалась, и было решено сохранить этот ответ в коде WordPress.
Подбор учетных записей пользователей возможен с помощью ряда инструментов с открытым исходным кодом. Кроме того, доступны скрипты, похожие на червей, которые распространяются по экосистеме WordPress, ища и распространяясь на сайты WordPress со слабыми паролями администратора.

WPScan

Упомянутый ранее инструмент WPScan, помимо перечисления, также может выполнять атаки методом грубой силы при входе в систему.

 wpscan --url example.com --wordlist /usr/share/wordlist/rockyou.txt --username testuser --threads 20 

Nmap NSE Script

Сканер портов Nmap может делать гораздо больше, чем находить открытые порты. Последние версии Nmap поставляются в комплекте со сценариями NSE, которые можно использовать для тестирования множества различных уязвимостей; включая перечисление пользователей и перебор паролей WordPress.

 nmap -sV --script http-wordpress-enum --script-args limit=25 example.com
ГОСУДАРСТВЕННАЯ СЛУЖБА ПОРТА ПРИЧИНА
80/tcp открыть HTTP-синхронизацию
| http-wordpress-перечисление:
| Имя пользователя найдено: admin
| Имя пользователя найдено: testadmin
| Имя пользователя найдено: Фред
| Имя пользователя найдено: Алиса
| Имя пользователя найдено: bob
|_Поиск остановлен на идентификаторе № 25. При необходимости увеличьте верхний предел с помощью «http-wordpress-enum.  limit» 

Burp Suite

Для тех, кто знаком с тестированием безопасности веб-приложений, инструмент Burp Suite Intruder также может использоваться для взлома паролей WordPress. В конце концов, попытка входа в WordPress — это всего лишь запрос HTTP POST. Настройте Burp Intruder для отправки действительного имени пользователя (или списка имен пользователей) вместе со списком возможных паролей и дождитесь успешного входа в систему.

2.Вход в систему грубой силой с использованием xmlrpc.php

Возможность xmlrpc.php — это конечная точка API, которая позволяет мобильным приложениям и другим программируемым средствам доступа к серверным функциям сайта WordPress, таким как публикация сообщений. Он включен по умолчанию, и возможны несколько атак на конечную точку в зависимости от разрешений и версии целевой установки WordPress.
Используя конечную точку xmlrpc.php для атаки на учетные записи WordPress, мы можем обойти подключаемые модули безопасности, которые защищают форму входа от злоупотреблений. Эта атака с подбором пароля также может быть быстрее, в результате чего вы можете попытаться ввести больше паролей.

Обратите внимание на -d, в curl это данные, которые отправляются как часть запроса POST. Вы также можете использовать Burp или ваш любимый язык сценариев для этого запроса.

 curl -X POST -d "wp.getUsersBlogsadminpass" http://examplewp.com/xmlrpc.php 

В ответе увидим неверный пароль или успех. Это легко заметить и использовать в сценарии.

3. Отказ в обслуживании (DOS) через xmlrpc.php

Другое использование конечной точки xmlrpc.php — выполнение атаки типа «отказ в обслуживании». Если эта возможность включена, мы можем отправить небольшой запрос на сервер и заставить его ответить с полной страницей контента на выбранную нами цель. Идея состоит в том, чтобы делать несколько запросов из разных систем и направлять их все на один хост. Потенциально отключив его из-за перегрузки сети.

Сначала перечислим возможности конечной точки xmlrpc.php.

 curl -X POST -d "system.listMethods" http://examplewp.com/xmlrpc.php
Ответом будет список доступных методов.

<методответ>
<параметры>
<параметр>
<значение>
<массив><данные>
  системные.listMethods
system.getCapabilities
pingback.extensions.getPingbacks
pingback.ping
mt.publishPost
**** усеченный **** 

Обратите внимание на файл pingback.ping, указывающий на то, что функция обратного вызова включена. Используйте следующие данные для попытки проверки связи.

 <вызов метода>
pingback.ping
<параметры><параметры>
http://**отказ в обслуживании-цель**:**portno**
http://**blog-url-from-wp**

 

Отключение доступа к xmlrpc. php с вашего веб-сервера или использование .htaccess рекомендуется, если вы не используете API. Это не только заблокирует любые атаки, но и уменьшит количество шума в ваших журналах от ботов, пытающихся поразить эти конечные точки API.

4. Использование плагина WordPress

Плагины, темы и ядро ​​WordPress содержат большое количество PHP-кода от разработчиков со всего мира. Эти разработчики имеют разные способности и фокус, когда дело доходит до написания безопасного программного обеспечения. По этой причине злоумышленнику доступны тысячи уязвимостей, которые можно использовать. Обновление плагинов, ядра WordPress и тем должно быть рутинной задачей для любого администратора WordPress, чтобы обеспечить исправление известных уязвимостей. Общие уязвимости включают XSS, внедрение SQL, загрузку файлов и выполнение кода. Все это может иметь разрушительные последствия для сайта WordPress. Ищите в Metasploit иexploit-db.com ошибки WordPress, которые можно использовать.

Пример эксплойта Revslider

Пример эксплойта плагина WordPress основан на уязвимости, обнаруженной 5 лет назад. Уязвимый плагин revslider привел к компрометации десятков тысяч сайтов WordPress. По сей день в журналах нашего веб-сервера есть попытки использовать его даже в 2019 году. Одна из причин, по которой этот плагин был таким популярным, заключается в том, что он был связан со многими темами.

Возможно несколько вариантов эксплуатации, но это, пожалуй, проще всего продемонстрировать. Эксплуатация так же сложна, как загрузка этого URL в браузере.

 https://example.com/wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php 

HTTP-запрос загрузит файл wp-config.php из уязвимый сайт, если на нем установлена ​​эксплуатируемая версия revslider. Тип эксплойта известен как включение локального файла, поскольку злоумышленник обманывает код приложения, заставляя его включать конфиденциальный файл в выходные данные. wp-config.php обычно недоступен и содержит учетные данные базы данных для Пользователь базы данных WordPress.

С паролем базы данных злоумышленник может попытаться войти в систему как администратор WordPress, используя тот же пароль (если пароли использовались повторно). Более распространенным вектором атаки будет вход в скрипт phpmyadmin, если он установлен, так как он использует учетные данные базы данных. Если MySQL открыт, может даже быть возможно напрямую подключиться к базе данных, используя клиент базы данных MySQL и украденные учетные данные.

Доступ к базе данных предоставляет злоумышленнику возможность сбросить пароль администратора, попытаться взломать хэш администратора, изменить содержимое базы данных, добавив вредоносные js или iframe. Есть много возможностей для дальнейшей эксплуатации после утечки учетных данных в wp-config.php.

5. Пример темы WordPress Exploit

Эксплойты доступны из различных мест и форумов. В этом примере используется эксплойт из популярной платформы Metasploit Exploitation Framework. Уязвимой темой является очень популярная оптимизированная пресса. Уязвимость была выпущена еще в 2013 году, и версии после 1.45 не уязвимы для этого эксплойта. Многочисленные боты и сценарии автоматизированных атак, использующие сайты WordPress, не выполняют фазу перечисления, они просто запускают эксплойты на тысячах сайтов и надеются на успешную полезную нагрузку. Плагины и темы, которые не включены, могут быть использованы. Сканирование местоположений по умолчанию для этих уязвимых файлов — очень распространенная атака автоматических ботов.

6. Проанализируйте и запишите учетные данные при незащищенном входе в систему

Без дополнительных мер безопасности (TLS/SSL) доступ к панели управления /wp-admin/ осуществляется через незашифрованное соединение. Это означает, что если вы входите на свой сайт WordPress через незащищенную сеть, например, через беспроводную сеть в местном кафе или аэропорту, ваш логин и пароль для управления сайтом могут быть перехвачены злоумышленником, наблюдающим за вашим сеансом.

В этом примере захвата Wireshark мы можем ясно видеть, что имя пользователя и пароль перехватываются в нашем POST-запросе к wp-login. php.

7. Взлом средств системного администрирования

Успешная атака с подбором пароля на учетную запись управления сервером даст злоумышленнику полный доступ к серверу и приложению WordPress. Службы, которые могут быть атакованы методом подбора пароля методом грубой силы, включают:

 > SSH-сервис
>Служба базы данных MySQL
> Управление веб-сервером
>CPanel или WHCMS Панели управления веб-хостингом
>Приложение для управления базой данных phpMyAdmin 

Снижение вероятности компрометации учетной записи управления:

 >Используйте надежные пароли везде, не используйте их повторно!
>Перенести SSH на другой порт
>Используйте TLS/SSL для веб-служб управления, чтобы предотвратить прослушивание и компрометацию учетных данных.
>Белый список IP-адресов, которые могут подключаться к интернет-сервисам 

8. Обнаружение контента

Обнаружение контента — это процесс поиска интересующих элементов в веб-пути. Это применимо к любому веб-приложению, но, поскольку мы атакуем WordPress, ориентируйтесь на типичные файлы и пути, представляющие интерес в установке WordPress.

Например:

 curl https://example.com/wp-config.php.bak
curl https://example.com/.wp-config.php.swp 

В этих двух примерах curl используется для поиска возможного файла резервной копии файла wp-config.php, который мы обсуждали ранее, поскольку он содержит конфиденциальную информацию, включая учетные данные базы данных. Вторая попытка пытается загрузить файл резервной копии, который vim автоматически создает при редактировании файла. Хорошая причина не редактировать файлы прямо на ваших производственных сайтах!

Использование curl для выполнения этой задачи поиска сотен или даже тысяч общих файлов может быть выполнено с помощью небольшого количества сценариев. С другой стороны, более подходящие инструменты, такие как Burp Suite или gobuster, инструмент, который очень быстр благодаря своей параллельной обработке, будут работать намного лучше.

9. Уязвимое серверное программное обеспечение

Тестирование самого приложения WordPress — это только часть обеспечения безопасности вашего веб-сайта.