Презентация по взлому сайтов WordPress

[SergOishe]

Сисадмин и программист Марк Монтегю (Mark Montague) из Мичиганского университета с 19-летним стажем решения проблем информационной безопасности составил очень толковую

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

с ясным изложением информации, необходимой для взлома сайта под WordPress. Цель презентации — убедить владельцев обязательно обновляться до последней версии программного обеспечения.

По мнению Монтегю, самый простой способ начать атаку — установить дистрибутив

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

с более 300 хакерскими программами, там есть всё необходимое. Из них злоумышленнику понадобятся только три:

• Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!
  : программа для поиска уязвимостей на сайтах WordPress и брутфорса паролей.
  
  
• Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!
  : фреймворк с простым веб-интерфейсом позволяет начать атаку без особых технических знаний.
  
  
• Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!
  : «PHP web shell», который загружается на сайт и работает как бэкдор, потенциально, предоставляя полный контроль над веб-сервером.

Например, так выглядит результат работы WPScan.

Script started on Thu 02 Oct 2014 09:49:02 PM EDT
root@badguy2: ~# wpscan --url myblog2.catseye.org
_______________________________________________________________
__ _______ _____
\ \ / / __ \ / ____|
\ \ /\ / /| |__) | (___ ___ __ _ _ __
\ \/ \/ / | ___/ \___ \ / __|/ _` | '_ \
\ /\ / | | ____) | (__| (_| | | | |
\/ \/ |_| |_____/ \___|\__,_|_| |_|

WordPress Security Scanner by the WPScan Team
Version 2.5.1
Sponsored by the RandomStorm Open Source Initiative
@_WPScan_, @ethicalhack3r, @erwan_lr, pvdl, @_FireFart_
_______________________________________________________________

[+] URL:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[+] Started: Thu Oct 2 21:49:18 2014

[!] The WordPress '

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

' file exists
[+] Interesting header: SERVER: Apache/2.4.7 (Ubuntu)
[+] Interesting header: X-POWERED-BY: PHP/5.5.9-1ubuntu4.4
[+] XML-RPC Interface available under:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[+] WordPress version 4.0 identified from meta generator

[+] WordPress theme in use: twentyfourteen - v1.2

[+] Name: twentyfourteen - v1.2
| Location:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

| Style URL:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

| Theme Name: Twenty Fourteen
| Theme URI:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

| Description: In 2014, our default theme lets you create a responsive magazine website with a sleek, modern des...
| Author: the WordPress team
| Author URI:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[+] Enumerating plugins from passive detection ...
| 1 plugins found:

[+] Name: custom-contact-forms - v5.1.0.3
| Location:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

| Readme:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[!] Directory listing is enabled:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[!] Title: Custom Contact Forms <= 5.0.0.1 - Cross Site Scripting
Reference:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

Reference:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

[!] Title: Custom Contact Forms <= 5.1.0.3 Database Import/Export
Reference:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

Reference:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

Reference:

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

Fixed in: 5.1.0.4

[+] Finished: Thu Oct 2 21:49:21 2014
[+] Memory used: 2.191 MB
[+] Elapsed time: 00:00:03
root@badguy2: ~# exit

Далее в дело вступает Metasploit, где есть все необходимые модули для взлома WordPress. Получив лицензионный код на программу и создав проект, можно атаковать любой IP.

С помощью Metasploit в WordPress создаётся новый аккаунт с правами администратора. Что делать на этом этапе? Можно просто стереть всё содержимое, но в этом мало смысла, потому что сайт восстановят из резервной копии. Скорее всего, злоумышленник предпочтёт установить бэкдор, чтобы расширить свои возможности.

Программа Weevely создаёт валидный PHP-код для размещения в основной директории WordPress, а удалённый доступ в систему осуществляется потом по адресу вроде

Вам необходимо выполнить Вход либо Регистрация для просмотра ссылок!

(разумеется, файл лучше переименовать в нечто менее заметное).

Автор презентации подробно объясняет, как разместить бэкдор в системе и что с ним делать в дальнейшем, а также описывает все необходимые меры безопасности, которые должен предпринять админ.

Говоря об экосистеме WordPress, можно предположить, что у злоумышленников есть список всех IP-адресов и всех сайтов, работающих под WordPress (с указанием версии WordPress и версий всех установленных плагинов), так что в случае обнаружения новой уязвимости очень оперативно начнётся атака по сценарию, описанному в этой презентации. А новые уязвимости для WordPress и плагинов появляются с завидным постоянством.