[Video] Violare un sistema WordPress con Acunetix e come difendersi dall’attacco

WordPress è ormai diventato a tutti gli effetti un CMS con cui non si realizzano più soltanto dei Blog sempre più complessi e potenti, ma anche interi portali, social network, e-commerce. Oggi all’interno di questo articolo voglio mostrarvi come relativamente semplice violare i dati di accesso che permettono di accedere al pannello di amministrazione con il famoso software per la scansione di vulnerabilità Acutenix.

Il primo step è ovviamente quello di avviare il software Acunetix sul proprio computer. Nel caso in cui non lo abbiate ancora potete trovarlo qui in versione trial per 15 giorni. Non appena avviato il software bisognerà recarsi all’interno della scheda (selezionabile sulla parte sinistra dell’interfaccia) “Authentication Tester”, il modulo dedicato al test per gli attacchi a dizionario sia tramite richieste HTTP che basate su un form HTML.

Da qui potrete facilmente configurare gli attacchi a dizionario per qualsiasi tipo di modulo, ma noi oggi in particolare vedremmo come attaccare un sistema WordPress conoscendo il nome utente da violare (generalmente “admin” per accedere come amministratore. In ogni caso l’username è facilmente individuabile all’interno dei post). Il sistema è da configurare come segue:

  • Impostare l’URL per l’accesso al pannello di amministrazione (generalmente: https://www.nome-blog.com/wp-admin/)
  • Impostare il metodo di autenticazione come “HTML FORM”
  • Impostare la voce “Logon failed” con la dicitura “ERRORE”
  • Impostare i due percorsi contenenti l’username da testare ed il relativo dizionario delle password
  • Lanciare la ricerca con il bottone “Start”

A questo punto Acunetix inizierà la ricerca. Non appena i dati di accesso saranno trovati il software continuerà a lavorare, ma al centro della scheda verranno visualizzati i dati di accesso validi.

Come proteggere WordPress da questi attacchi?

WordPress di sua natura non possiede un sistema che impedisca gli attacchi a dizionario o brute force. In sostanza non vi è alcun limite di accessi che possono fallire in un determinato arco di tempo. Al fine di limitare le richieste di accesso al pannello di amministrazione è possibile installare due plugin:

Il primo plugin, mostrato anche all’interno del video, vi permetterà di memorizzare tutti i dati di coloro che non riusciranno ad effettuare correttamente l’accesso. In ogni momento potrete quindi sapere se, ma sopratutto chi, ha tentato di accedere al vostro pannello di amministrazione.
Il secondo plugin, invece, permette di limitare i tentativi di accesso in un determinato arco temporale, limitando così la possibilità di attacchi a dizionario o brute force.

6 commenti
  1. A me non funziona!
    Ho impostato tutto giusto ma mi trova password (2 addirittura) non veritiere!
    Forse bisogna rallentare il tempo tra due tentativi? Non trovo nelle configurazioni questa opzione?
    Puoi aiutarmi?

    Grazie,

    Laura

  2. In realtà non è per niente all’avanguardia 😉 ma la cosa assurda, come luca c’insegna, è che se fai l’amministratore nonostante il problema sia arcinoto trovi utenti che pretendono di usare password tipo: goal o anna92 o ambra (sono tutte vere), che chiaramente sono facilmente forzabili con un attacco come questo. Le password buone sono invece Caffil!tr8n$ o similari.

    Volevo poi segnalare un metodo hydra (graatuito) che è il tool di riferimento per questi attacchi; per wordpress basta scrivere
    hydra -l admin -P FILE_DI_PASSORD.txt http://www.nomeserver.com http-post-form “/wp-login.php:log=^USER^&pwd=^PASS^:login_error”

  3. Bhè , che dire , Luca non finisce mai di sorprenderci con tecniche all’avanguardia ,anche se, vista la difficoltà nell’attuare un simile attacco la comprensione è riservata a pochi.

    Un VERO Hacker !!

    //Sarcasmo

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Articoli simili
Continua

Recuperare messaggi Whatsapp

Nell’articolo di oggi andremmo a vedere come recuperare messaggi Whatsapp, anche se cancellati, dal proprio smartphone, sia esso…