WordPressハッキングの手法・ブルートフォース攻撃の対策 「/?author=x」・WPScan



  • contentsimg



contentsimg

全世界のWordPressユーザーの中でセキュリティ上ハッカー(クラッカー)に情報(ヒント)を与えてしまうような物を残している人は異常なまでに多いです。その情報を悪用してWordPressの管理者ログインを試みるテストと対策をしてみましょう。

手法

このWordPressのペネトレーションテスト用記事と対策記事です。この手法を利用して悪意ある行動をしないでください。

✔ WordPress管理者のユーザーID情報を得る。

上記をURLの末に加える事でWordPressユーザーIDを得ることができます。
“x”の値には数字を入力しましょう。  例: http://○○○○○.net/?author=1

✔ ブルートフォース攻撃を試みる。

Hydraやwpscanを利用してブルートフォース攻撃を試みます。

上記コマンドで「/?author=x」で表示されなくてもターミナルで表示する事が可能です。

上記コマンドでブルートフォース攻撃を開始する事が可能です。

● ”XXXXXXXXXX”にはUserIDを入力します。
● ”127.0.0.2”にはURL/IPを入力します。
● ”/root/pass”には辞書ファイルのディレクトリを参照します。

カテゴリ: Hydra

たったこれだけで・・・WordPressが第三者に悪用されます。


  • 対策

    ✔ 情報を与えない為に「/?author=x」を対策してみます。

    こんな感じです。上記PHPコードをfunction.phpに加えてください。

    ● 404.phpがない場合は作成してください。

    ✔ 同時に以下も変更すると良いでしょう。

    contentsimg

    ● ブログに表示されるニックネームを変更します。デフォルトだとユーザーIDが表示されるので「/?author=x」を対策しても意味がありません。

    WordPressの管理ページから”ユーザー/あなたのプロフィール“で変更可能です。

    ● ニックネームを入力後にブログ上の表示名を変更することができます。

    ✔ wp-login.phpのディレクトリを変えるとなお良い。


    コメントしてね!