网站渗透测试案例分享-WordPress网站 _网站渗透

文章插图
wordPress/ target=_blank class=infotextkey>WordPress网站不仅在国外非常受欢迎，国内市场也是一片大好，越来越多的建站者开始使用这个CMS，安全问题也就变得尤为重要。
此次分享旨在为安全人员提供科学合理的安全改良方案，切不可用于非法入侵。
攻击WordPress网站并访问运行“WordPress”内容管理系统的Web应用程序比您想象的要容易得多。
当然，能够入侵WordPress的管理部分（通常位于“wp-admin”）与保护r00t访问权限不同，要做到这一点，你需要进入超出范围的服务器范畴。
在这个分享中，我还将演示如何通过这些渗透安全地保护您的网站，并确保您的WordPress安装免受这种强力在线破解攻击，所以，好消息是，在阅读本教程后，您将懂得如何使你的网站更安全。
在预防方面（我将在页面下方进一步解释），您可以做的最重要的事情实际上非常简单：将用户名从“默认管理员”更改为更复杂的内容，并且，确保你的密码非常复杂。是的，我知道您已经被告知广告，确保您的密码非常强大的重要性，但事实是，几乎所有入侵您的WordPress网站的我认为98％以上都是“脚本小子”黑客，你应该明白什么意思了吧。
首先选择Kali linux
此渗透测试所需的黑客工具是wpscan和Linux（操作系统）。虽然Linux平台不单单是Kali Linux，但它更受欢迎，也更方便使用，因为它附带了执行此WordPress渗透的所有必要工具。
其他可以用于Brute ForceWordPress的工具是THC Hydra，TamperData和Burp Suite 。您可以大量使用其他工具，但基本上刚刚提到的工具可以被视为此渗透任务中最受常用的黑客工具。
值得庆幸的是，这种渗透测试相对简单，不需要编程。
除了上面列出的工具，您还需要一个像样的WordPress“暴力词典” 。当然也需要搭建一个合理的目标，并确保您的目标正在运行WordPress 。
本教程是关于WordPress的渗透测试攻击，所以 - 让我们确保我们的测试对象确实使用WordPress！
在我们深入研究（使用KaliLinux和WPScan）之前，我们需要确保我们的受害者确实在运行WordPress 。要做到这一点，有三种简单快捷的方法可供检查。
1. 通过任何浏览器查看任何html呈现页面的来源然后点击CTRL + F，键入“theme”，如果你看到一堆你日常接触的WordPress那样的网络资源，那么你的受害者几乎肯定会运行WordPress作为他们的CMS 。
2. 另一种证明网站使用WordPress的方法是在域名后键入/wp-admin.php 。如果它显示了通用的WordPress登录管理面板，那么你就可以确定我们的目标确实在使用WordPress 。
3. 另一种检查的方法是安装名为“BuiltWith”的Chrome扩展程序，该扩展程序列出了Web应用程序背后的技术。
看看目标是多么“复杂”？
现在您已确定目标确实正在使用WordPress，然后下一步就是确认您正在与谁打交道。如果您看到任何已确定的额外安全功能，例如Captcha表单或任何其他形式的反机器人机制，那么，就说明网站管理员知道攻击WordPress是多么容易，并采取了预防措施。
额外的安全功能和措施（在大多数情况下非常罕见;特别是对于相对较低级别的流量），您可能遇到的所有功能和措施都已设置为防止暴力攻击（这是我们将要展示的内容）稍微向下一点会介绍）。
假设所有都是常规的 - 下一步该做什么？
下一步是测试用户名“admin” 。要做到这一点，只需键入“admin”并输入任何乱码密码，如果您收到以下错误消息，那么您就知道有一个名为“admin”的用户名，很难有可能具有“管理员权限” 。在此，你应该明白，如果你的系统有一个使用admin的帐户，那么我建议您删除它或快速更改它。
如果出现无效的用户名（Invalid username），我们需要先获取用户名。
用户枚举
?author=1 遍历用户名默认安装的WordPress 站点是能够遍历用户名的,使用浏览器访问/?author=1
页面自动跳转至author为1的用户页面，获取了一个用户名。
我们再输入已存在的用户名xxx，密码任意
会提示密码无效
通过两次不同的返回信息，我们可以看出，目标后台确实存在一个xxx的用户。
【网站渗透测试案例分享-WordPress网站】当?author=1遍历用户名不好使得时候可以采用这种方法
若管理员修改了默认目录路径，则需要通过目录爆破等方式查找后台地址

网站渗透测试案例分享-WordPress网站

推荐阅读

盛天网络@6.24龙虎榜：方神3900万爆买一游戏股

葫芦|纸币收藏和硬币收藏你更加倾向哪种

新华网专访豆果美食COO钟锋：积极进行布局扩张围绕家庭用户发力

小S|小S拍杂志花絮曝光，开心跳舞，二女儿一脸嫌弃不愿配合妈妈发疯

梦到一群狼围攻自己和家人梦见自己和家人被狼群围攻,有人帮助我们逃脱

中介|全是套路？女子听从中介建议降价几十万卖了房，买家竟是……

环球网■奥地利总统发推特别感谢中国：我们非常需要帮助

浙江男子被“超级毒蛇”咬了一口！自己一通神操作惊呆网友

运动后身上酸痛怎么办呢？

断桥铝70(1.4 中空27a)和72(1.8 22a)，咋选择。

震荡整理|国盛证券：市场资金充裕料短期或仍以震荡整理为主

|12×14米的农村自建房，盖两层楼房需要多少钱？

广东一职院男女生混住同一栋宿舍楼，校方：男生将搬离

东方甄选中灿复播，卖大闸蟹六万人围观，“勿忘国耻”成口号？

红茶好坏鉴定,红茶用多高水温

我很苦恼朋友圈有的人转发的哪里哪里又有人因为吃鸡肉得了病，医生已经被隔离。我告诉她这是谣言

女生昏倒抢救途中被送殡仪馆|女生在校昏倒抢救途中被送殡仪馆官方称已无生命体征

[罗家英]罗家英：58岁患肝癌，62岁二婚，67岁肝癌复发，现状如何？

|都2020了，为啥还有人说鞋柜不能做到顶？

tiktok|美国出局！TikTok总部或设在伦敦，英媒：准备迎接特朗普的怒火