您当前的位置:首页 > 电脑百科 > 安全防护 > 服务器/网站

网站渗透测试案例分享-WordPress网站

时间:2019-09-03 14:47:47  来源:  作者:

wordPress/ target=_blank class=infotextkey>WordPress网站不仅在国外非常受欢迎,国内市场也是一片大好,越来越多的建站者开始使用这个CMS,安全问题也就变得尤为重要。

此次分享旨在为安全人员提供科学合理的安全改良方案,切不可用于非法入侵。

攻击WordPress网站并访问运行“WordPress”内容管理系统的Web应用程序比您想象的要容易得多。

当然,能够入侵WordPress的管理部分(通常位于“wp-admin”)与保护r00t访问权限不同,要做到这一点,你需要进入超出范围的服务器范畴。

在这个分享中,我还将演示如何通过这些渗透安全地保护您的网站,并确保您的WordPress安装免受这种强力在线破解攻击,所以,好消息是,在阅读本教程后,您将懂得如何使你的网站更安全。

在预防方面(我将在页面下方进一步解释),您可以做的最重要的事情实际上非常简单:将用户名从“默认管理员”更改为更复杂的内容,并且,确保你的密码非常复杂。是的,我知道您已经被告知广告,确保您的密码非常强大的重要性,但事实是,几乎所有入侵您的WordPress网站的我认为98%以上都是“脚本小子”黑客,你应该明白什么意思了吧。

首先选择Kali linux

此渗透测试所需的黑客工具是wpscan和Linux(操作系统)。虽然Linux平台不单单是Kali Linux,但它更受欢迎,也更方便使用,因为它附带了执行此WordPress渗透的所有必要工具。

其他可以用于Brute ForceWordPress的工具是THC Hydra,TamperData和Burp Suite。您可以大量使用其他工具,但基本上刚刚提到的工具可以被视为此渗透任务中最受常用的黑客工具。

值得庆幸的是,这种渗透测试相对简单,不需要编程。

除了上面列出的工具,您还需要一个像样的WordPress“暴力词典”。当然也需要搭建一个合理的目标,并确保您的目标正在运行WordPress。

本教程是关于WordPress的渗透测试攻击,所以 - 让我们确保我们的测试对象确实使用WordPress!

在我们深入研究(使用KaliLinux和WPScan)之前,我们需要确保我们的受害者确实在运行WordPress。要做到这一点,有三种简单快捷的方法可供检查。

1. 通过任何浏览器查看任何html呈现页面的来源然后点击CTRL + F,键入“theme”,如果你看到一堆你日常接触的WordPress那样的网络资源,那么你的受害者几乎肯定会运行WordPress作为他们的CMS。

2. 另一种证明网站使用WordPress的方法是在域名后键入/wp-admin.php。如果它显示了通用的WordPress登录管理面板,那么你就可以确定我们的目标确实在使用WordPress。

3. 另一种检查的方法是安装名为“BuiltWith”的Chrome扩展程序,该扩展程序列出了Web应用程序背后的技术。

看看目标是多么“复杂”?

现在您已确定目标确实正在使用WordPress,然后下一步就是确认您正在与谁打交道。如果您看到任何已确定的额外安全功能,例如Captcha表单或任何其他形式的反机器人机制,那么,就说明网站管理员知道攻击WordPress是多么容易,并采取了预防措施。

额外的安全功能和措施(在大多数情况下非常罕见;特别是对于相对较低级别的流量),您可能遇到的所有功能和措施都已设置为防止暴力攻击(这是我们将要展示的内容)稍微向下一点会介绍)。

假设所有都是常规的 - 下一步该做什么?

下一步是测试用户名“admin”。要做到这一点,只需键入“admin”并输入任何乱码密码,如果您收到以下错误消息,那么您就知道有一个名为“admin”的用户名,很难有可能具有“管理员权限”。在此,你应该明白,如果你的系统有一个使用admin的帐户,那么我建议您删除它或快速更改它。

如果出现无效的用户名 (Invalid username),我们需要先获取用户名。

用户枚举

?author=1 遍历用户名 默认安装的WordPress 站点是能够遍历用户名的,使用浏览器访问/?author=1

页面自动跳转至author为1的用户页面,获取了一个用户名。

我们再输入已存在的用户名xxx,密码任意

会提示密码无效

通过两次不同的返回信息,我们可以看出,目标后台确实存在一个xxx的用户。

当?author=1遍历用户名不好使得时候可以采用这种方法

若管理员修改了默认目录路径,则需要通过目录爆破等方式查找后台地址

我们已经有了用户名和后台路径,自然会想到后台暴力破解,所以接下来我们来讲解如何爆破WorPress后台登录密码

暴力破解

WordPress爆破事实上有两种,第一种是使用工具或脚本对登录页面进行登录尝试,第二种是利用xmlrpc接口,POST登录数据信息,来判断账户密码是否可用

WPscan爆破

WPscan包含WordPress黑盒测试所需的各种功能,上面我们已经使用了WPscan的扫描功能了。接下来,我们来使用其爆破功能。

我们输入如下命令开始爆破:

wpscan --url http://xxxx/ --wordlist /home/ichunqiu/wordbrutepress/password.lst --username xxx

1

爆破密码

爆破是否成功很大取决于字典是否强大,从另一方面来说,我们设置密码时要足够强

XMLRPC爆破

xmlrpc 是 WordPress 中进行远程调用的接口,低版本中曾曝出可利用 xmlrpc 调用接口中的 system.multicall提高爆破效率,通过 xmlrpc可以将多个密码组合在一次请求中提交,可以减少请求次数,从而规避日志的监测。

由此,我们即可得到用户名密码,登陆后台,当然成功的要素,不只是取决于你的使用水平,也取决于字典的强大,更取决于你对目标网站的管理人员是否了解(每个人都有自己通用的密码,这对于字典来说非常重要)

通过教程的讲解,相信大家对WordPress的后台爆破已经有所了解。 在接下来的分享中,我们将结合经典的案例,讲解如进一步利用信息收集所获取的信息。



Tags:网站渗透   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
客户网站前端时间被攻击,网站被劫持到了赌bo网站上去,通过朋友介绍找到我们做网站的安全防护,我们随即对客户网站进行了全面的渗透测试,包括了网站的漏洞检测与代码安全测试,针对...【详细内容】
2020-02-19  Tags: 网站渗透  点击:(86)  评论:(0)  加入收藏
域名信息的收集当我们确定了要渗透的目标,也就是知道了其域名,接下来我们需要收集域名对应的 ip,域名的whois信息、子域名等等一系列与域名相关的信息。判断域名对应的IP:首先,我...【详细内容】
2019-12-25  Tags: 网站渗透  点击:(139)  评论:(0)  加入收藏
在众多渗透测试中客户想要了解攻击溯源查找问题,我们在日常网站安全检测过程中了解知道黑客是如何攻击和上传木马并进行篡改,以及如何查找日志分析攻击者是通过哪些脚本入口...【详细内容】
2019-12-24  Tags: 网站渗透  点击:(103)  评论:(0)  加入收藏
天气逐渐变凉,但渗透测试的热情温度感觉不到凉,因为有我们的存在公开分享渗透实战经验过程,才会让这个秋冬变得不再冷,近期有反映在各个环境下的目录解析漏洞的检测方法,那么...【详细内容】
2019-10-22  Tags: 网站渗透  点击:(150)  评论:(0)  加入收藏
越来越多的网站以及app手机端客户注重安全渗透测试服务,上线前必须要对平台进行全面的预渗透测试找出安全漏洞以及BUG,很多客户找我们,做渗透测试服务的时候对具体的流程可...【详细内容】
2019-09-25  Tags: 网站渗透  点击:(153)  评论:(0)  加入收藏
WordPress网站不仅在国外非常受欢迎,国内市场也是一片大好,越来越多的建站者开始使用这个CMS,安全问题也就变得尤为重要。此次分享旨在为安全人员提供科学合理的安全改良方案,切...【详细内容】
2019-09-03  Tags: 网站渗透  点击:(219)  评论:(0)  加入收藏
1.利用网站过滤不严直接绕过后台验证,在网站后面加上 admin/session.asp 或 admin/left.asp2.有的网站进后台会出现一个脚本提示框,输入:administrator 即可突破!因为admin代表...【详细内容】
2019-09-03  Tags: 网站渗透  点击:(219)  评论:(0)  加入收藏
一、简介二、制定实施方案三、具体操作过程四、生成报告五、测试过程中的风险及规避零、前言渗透测试在未得到被测试方授权之前依据某些地区法律规定是违法行为。 这里我们...【详细内容】
2019-09-03  Tags: 网站渗透  点击:(180)  评论:(0)  加入收藏
1. 信息收集:获取域名的whois信息,获取注册者邮箱姓名电话等。niubila@vip.qq.com 如果目标站无漏洞,那么去其他站包含qqqq@vip.qq.com为用户名的站,拿下数据库,查密码1851111222...【详细内容】
2019-09-03  Tags: 网站渗透  点击:(63103)  评论:(0)  加入收藏
网站渗透测试是指在没有获得网站源代码以及服务器的情况下,模拟入侵者的攻击手法对网站进行漏洞检测,以及渗透测试,可以很好的对网站安全进行全面的安全检测,把安全做到最大化。...【详细内容】
2019-07-29  Tags: 网站渗透  点击:(271)  评论:(0)  加入收藏
▌简易百科推荐
在最近的一波攻击中,黑客利用多个插件中未修补的漏洞攻击了 160 万个 WordPress 网站。 易受攻击的插件对 WordPress 网站产生了的巨大攻击数据。 Wordfence 最近发现 WordPr...【详细内容】
2021-12-16  蚁安    Tags:WordPress   点击:(9)  评论:(0)  加入收藏
事件起因从安全分析系统里面发现一条带有病毒的下载,然后针对这条记录展开了一系列的分析分析过程1.登录到被感染服务器,查看系统状况,hadoop 这个用户在 2020/6/18 20:32 从这...【详细内容】
2021-11-23  Z2990Lig    Tags:SSH   点击:(32)  评论:(0)  加入收藏
1、除了服务器需要用的一些正规软件,其它都不要安装。2、在用户中把administrator改名,这样做的目的是即使对方暴破了我们的密码用户名也不容易猜住,相当于又加了一道关卡。...【详细内容】
2021-11-01  IT小哥吧    Tags:服务器   点击:(37)  评论:(0)  加入收藏
账户安全(1)更名administrator本地用户并禁用guest账户步骤:点击“开始”,找到“管理工具”,点击里面的“计算机管理”,找到“本地用户和组” (2)设定账户锁定策略尝试5次失败...【详细内容】
2021-10-12  Kali与编程  今日头条  Tags:Windows主机   点击:(62)  评论:(0)  加入收藏
本文主要介绍以Microsoft的Windows Server 2019 ,版本:Datacenter(Domain Controller)安全加固保护.企业随着规模不断扩大,业务增多,信息安全建设是企业里一条只有重点没有终点...【详细内容】
2021-09-17  Vireshark    Tags:服务器安全   点击:(64)  评论:(0)  加入收藏
目录常见共享命令IPC$IPC$的利用条件1:开启了139、445端口2:目标主机开启了IPC$共享3:IPC连接报错IPC空连接空连接可以做什么?(毫无作用)IPC$非空连接IPC$非空连接可以做什么?di...【详细内容】
2021-09-16  网络说安全    Tags:系统安全   点击:(86)  评论:(0)  加入收藏
昨天一个老哥找到我,说他的服务器这几天一直被CC攻击,问我这边有没有什么解决的方法? 近年来,网络攻击事件越来越频繁,最常见的就是CC攻击和DDOS攻击,主要的区别就是针对的对象不...【详细内容】
2021-09-10  小蚁GDRAGON    Tags:cc攻击   点击:(58)  评论:(0)  加入收藏
网站页面上的登录操作,通常都是输入帐号密码,传输至网站后台验证。在网站页面、数据传输中,通过技术手段,都可以得到用户输入的信息,并可以修改,从而发起网络攻击。典型的如:使用自...【详细内容】
2021-08-30  修丹道的程序猿    Tags:登录方式   点击:(62)  评论:(0)  加入收藏
网络安全研究人员披露了一类影响主要 DNS 即服务 (DNSaaS) 提供商的新漏洞,这些漏洞可能允许攻击者从企业网络中窃取敏感信息。基础设施安全公司 Wiz 的研究人员 Shir Tamar...【详细内容】
2021-08-12  零日时代    Tags:漏洞   点击:(66)  评论:(0)  加入收藏
001暴力破解1. 指定用户名爆破密码传统型爆破思路,用户名可以通过猜测或者信息收集获得。猜测:admin、网站域名等信息收集:新闻发布人、whoami等2. 指定密码爆破用户名如果是后...【详细内容】
2021-07-23  KaliMa  今日头条  Tags:登陆框   点击:(85)  评论:(0)  加入收藏
最新更新
栏目热门
栏目头条