Несколько способов взломать страницу входа в WordPress

Таблица содержания

• WPscan
• Metasploit
• Burp Suite
• Как избежать атаки перебором?

WPscan

WPscan - это инструмент командной строки, который используется в качестве сканера уязвимостей Wordpress. Он часто используется специалистами безопасности для проверки своего веб-сайта. WPscan предустановлен в большинстве дистрибутивов Linux, ориентированных на безопасность, а также доступен в виде подключаемого модуля.

Здесь я использую веб-сайт на WordPress, размещенный на локальном хосте.

Во время перебора паролей вы можете использовать либо свои собственные списки имен пользователей и паролей, либо те, которые есть в Kali Linux. Я использовал файл паролей rockyou.txt, который поставляется со стандартной установкой kali и содержит 14341564 уникальных пароля.1

wpscan --url http://192.168.1.100/wordpress/ -U users.txt -P /usr/share/wordlists/rockyou.txt

 –URL - это параметр URL-адреса, за которым следует URL-адрес веб-сайта WordPress для сканирования.

-U - перебор имен пользователей из предоставленного списка users.txt.

-P - перебор паролей из предоставленного списка rockyou.txt.

Продолжительность сканирования в основном зависит от размера файла с паролями, и поскольку мы сопоставляем большое количество пользователей с еще большим количеством паролей, это также может повлиять и на производительность веб-сайта, если будем перебирать пароли в течение длительного времени.

На экране отображается успешная атака с именем пользователя admin и паролем flower .

Metasploit

Как мы знаем, Metasploit предустановлен в Kali Linux, поэтому наш первый шаг - попасть в консоль Metasploit, а затем запустить модуль WordPress.

Этот модуль msf будет запускать аудит имени пользователя и пароля. Сначала он проверит имена пользователей, а затем сопоставит с ними пароли. 

msf > use auxiliary/scanner/http/wordpress_login_enum
msf auxiliary(wordpress_login_enum) > set rhosts 192.168.1.100
msf auxiliary(wordpress_login_enum) > set targeturi /wordpress
msf auxiliary(wordpress_login_enum) > set user_file user.txt
msf auxiliary(wordpress_login_enum) > set pass_file pass.txt
msf auxiliary(wordpress_login_enum) > exploit

И снова успешный вход в систему методом брутфорса с учетными данными «admin» и «flower» можно увидеть на следующем скрине.

Burp Suite

Запустите Burp Suite и откройте страницу входа в WordPress, включите вкладку Intercept в Burp Proxy, затем укажите любое имя пользователя и пароль для входа на веб-сайт WordPress, нажмите кнопку Log In, перейдите в Burp, чтобы просмотреть текущий запрос.

Посмотрите на изображение ниже и обратите внимание на последнюю строку перехваченного сообщения, она показывает записанные учетные данные для входа как raj:raj, которые я использовал для входа в систему как имя пользователя и пароль соответственно. Затем отправьте захваченное сообщение в intruder, щелкнув правой кнопкой мыши в пустое пространство и выбрав опцию «Send to Intruder» или просто нажав  Сtrl + I.

Теперь откройте  вкладку Intruder, и вы увидите запрос базового шаблона, который мы отправили сюда. Выберите  вкладку «Positions», по умолчанию выбрано несколько позиций, эти позиции помечены символами §. Все, что находится между двумя символами §, заменяется полезной нагрузкой. Но сейчас все они нам не нужны, поэтому нажмите кнопку очистки в правом нижнем углу окна редактора.

Затем выберите позиции, как показано на скриншоте, и нажмите кнопку добавления (Add) справа. Это настроит эти две выбранные позиции как точки вставки полезной нагрузки. Теперь, чтобы настроить атаку, выберите тип атаки. Поскольку у нас есть 2 позиции полезной нагрузки, я выбираю cluster bomb (этот тип атаки полезен для атаки методом грубой силы, поскольку он помещает первую полезную нагрузку в первую позицию, а вторую полезную нагрузку во вторую позицию. Но когда он проходит через наборы полезных нагрузок, он пробует все комбинации. Например, если у вас есть 1000 имен пользователей и 1000 паролей, он выполнит 1000000 запросов.)

Теперь нажмите кнопку start attack.

Во вкладке Payloads, в раскрывающемся меню Payload set вы можете увидеть номера 1 и 2. Выберите номер 1 для первой позиции полезной нагрузки. Выберите Simple list в Payload type, этот список позволяет вам настроить простой список слов, которые используются в качестве полезной нагрузки. Вы можете вручную добавлять элементы в список, используя текстовое поле внизу и кнопку «Add», или вы можете вставить список из буфера обмена или загрузить из файла (Load).

Точно так же выберите номер 2  для другой позиции полезной нагрузки и выберите Runtime file в типе полезной нагрузки, это полезно, когда требуется использовать очень большой список полезных данных, чтобы избежать хранения всего списка в памяти. Добавьте путь к нужному файлу словаря, имеющему только пароль. Нажмите на Start attack.

Он будет сопоставлять комбинации из обеих полезных нагрузок и попытается войти в систему с именем пользователя и паролем, как вы можете видеть ниже. Обратив внимание на статус и длину полезных данных, вы можете увидеть, что учетные данные admin и flower имеют статус 302 и длину 1203, что отличается от всех других комбинаций, что указывает на то, что это именно те результаты, которые мы ищем. Следовательно, имя пользователя и пароль admin и flower соответственно.

Как избежать атаки перебором?

Конечно, этих атак можно избежать, используя следующие меры предосторожности:

• Длина пароля: идеальная длина пароля должна составлять 8-16 символов. Важно избегать использования наиболее распространенных паролей и часто их менять.                          
• Сложность пароля: пароль должен состоять из ЗАПИСНЫХ и строчных букв, а также должен включать цифры и специальные символы. Пользователи должны выбирать сложные парольные фразы, а не отдельные слова; сложность пароля задерживает процесс взлома.
• Ограничить попытки входа в систему : ограничьте количество попыток входа в систему администратора WordPress. Например, после трех неудачных попыток входа в систему; он должен заблокировать этот конкретный IP-адрес на определенный период времени, чтобы остановить его для дальнейших попыток входа в систему.
• Двухфакторная аутентификация: следующий способ защиты от перебора - двухфакторная аутентификация или 2FA. Это процесс, который дает владельцу учетной записи вторичный доступ к веб-службам для проверки попытки входа в систему. Как правило, это касается номера телефона и / или адреса электронной почты.
• Использование Captcha : установить captcha на вашем сайте WordPress довольно просто, и они помогают предотвратить выполнение ботами автоматических скриптов для входа в вашу учетную запись.
• Установите плагин брандмауэра WordPress: даже неудачные атаки методом грубой силы могут замедлить работу вашего сайта или полностью вывести из строя сервер. Вот почему важно заблокировать их, и для этого вам понадобится брандмауэр веб-сайта. Брандмауэр отфильтровывает плохой трафик и блокирует ему доступ к вашему сайту.
• Cloudflare: это известный сервис, обеспечивающий защиту от атак перебором.
• Установите и настройте плагин резервного копирования WordPress: если все не удается, нужно иметь план резервного копирования! Есть несколько отличных  плагинов для резервного копирования WordPress , которые позволяют планировать автоматическое резервное копирование.
• Отключение просмотра каталогов и регулярная установка обновлений WordPress также может помочь обезопасить себя от атак грубой силы на веб-сайт WordPress.