الغاشمة مما اضطر استضافة جملة


هذه التقنيات يمكن استخدامها لمهاجمة واقتحام مواقع وورد القائمة. من خلال توفير التفاصيل حول هذه الأنواع من الهجمات الهدف هو رفع مستوى الوعي حول الحاجة إلى تصلب والأمن رصد وورد.

بالطبع أي اختبار الاختراق الراغبين في البوب ​​الموقع على وورد ويمكن أيضا العثور على بعض مؤشرات مفيدة في هذا الدليل.

وورد هو تطبيق وراء ما يقرب من 20٪ من جميع المواقع. سهولة استخدامه وقاعدة مفتوحة المصدر تجعل من مثل هذا الحل شعبية. أعداد المنشآت تبقي المتنامية. هناك حرفيا الملايين من المنشآت وورد. هذه الشعبية يجعلها هدفا العصير للالأشرار تهدف إلى استخدام خادم الويب للخطر لأغراض خبيثة.

الغاشمة مما اضطر جملة استضافة خادم التي تسمح لك

هناك العديد من أدلة جيدة جدا ومفصلة على تأمين تثبيت وورد المتاحة، وليس المقصود هذا المنصب لتكرار تلك. للبدء تأمين ورد تثبيت محاولة دليل ممتاز على البوابة wordpress.org الويب codex.wordpress.org/Hardening_WordPress.

كما نضع في اعتبارنا أنه إذا كنت تستخدم وورد تمكنت بالمجان، بعض هذه الهجمات (والتخفيف) سوف تكون مسؤولية مزود الاستضافة. إذا كنت الذاتي استضافة على VPS غير المدارة ثم الأمن هو مسؤوليتك. طيب، وعلى استعداد لبدء؟ فلنسرع.

جمع المعلومات

الخطوة الأولى في مهاجمة موقع وورد تتضمن جمع المعلومات حول التثبيت. وبادئ ذي بدء نريد للحصول على فكرة عن مدى الحفاظ على الموقع. تحديد ما إذا كان الموقع يعمل على أحدث نسخة وورد الأساسية هو بداية جيدة.

وورد النسخة الأساسية

وهما أسرع الطرق لاكتشاف النسخة الأساسية من موقع وورد هو للتحقق من مصدر HTML للصفحة لعلامة مولد الفوقية في الرأس من مصدر أو ملف examplesite.com/readme.html التي يتم توزيعها كجزء من ملفات التثبيت الأساسية.

يؤخذ هذا المثال من مصدر WP الافتراضي تثبيت النسخة 3.5.2 وعشرين اثني عشر موضوعا. من HTML المصدر:

إذا تم تعطيل العلامة الوصفية، والتحقق من وجود /readme.html من جذر تثبيت. هذا الملف يحتوي على معلومات إصدار وورد الحق هناك في الأعلى.

ومن الشائع أن تجد نسخة من التثبيت من خلال واحدة من هذه التقنيات اثنين. هناك قضايا أمنية معروفة حتى في بعض من أحدث الإصدارات من وورد الأساسية، حتى تحقق النسخة المكتشفة ضد نقاط الضعف المعروفة. حتى لو كنت غير قادر على العثور على أي مآثر جيدة لإصدار وورد الأساسية، مع العلم تم تركيب تشغيل أي شيء أقدم من الإصدار الأخير يشير إلى أن الموقع قد لا تدار عن كثب - في هذه الحالة فرصة لاستغلال أماكن أخرى قد تزايد بشكل كبير.

الغاشمة مما اضطر جملة استضافة وظيفة على شبكة الإنترنت

الفهرسة دليل

فهرسة الدليل هي وظيفة من خادم الويب الذي يسمح لك لعرض محتويات الدليل في مسار الوصول إلى شبكة الإنترنت. عرض محتويات الدليل يتيح للمستخدم غير المصرح به لجمع الكثير من المعلومات حول التثبيت مثل التي تم تثبيت الإضافات والموضوعات.

للتحقق من فهرسة الدليل يمكنك تصفح لمواقع المجلدات ومعرفة ما إذا كان يمكنك الحصول على استجابة يتضمن "مؤشر" وقائمة من المجلدات / الملفات. سوف مواقع مشتركة للتحقق على النحو التالي:

إذا يمكنك تصفح / الفسفور الابيض بين المحتوى / الإضافات / - الخطوة التالية في جمع المعلومات مرحلة حيث نحاول العثور على مكونات إضافية تثبيت والإصدارات هو يصبح أسهل بكثير!

إصدارات وورد البرنامج المساعد

في هذه الخطوة نحن نذهب لمحاولة العثور على العديد من الإضافات التي تم تثبيتها (سواء كانت ممكنة أو لا) ممكن. العليم الذي يتم تثبيت الإضافات يسمح لنا ثم محاولة تحديد ما إذا كانت عرضة للمآثر معروفة.

  • ويمكن استخدام تحليل السلبي للعثور على الإضافات من خلال طلبات HTTP العادية إلى الموقع وورد.
  • تحليل النشط هو أكثر عدوانية وينطوي على استخدام برنامج نصي أو الأداة لتنفيذ مئات أو حتى آلاف من طلبات HTTP معظمها غير صالحة عادة.

استعراض مصدر HTML للموقع وورد يمكن أن تكشف عن الإضافات المثبتة، من خلال وصلات جافا سكريبت. التعليقات والموارد مثل المغلق التي يتم تحميلها إلى الصفحة. هذه هي أسهل الإضافات لاكتشاف ولا تحتاج إلى اختبار العدواني من الموقع المستهدف. يمكن حتى رؤوس HTTP تكشف عن معلومات مثل بالطاقة X-بواسطة رأس يكشف وجود المساعد W3-توتال ذاكرة التخزين المؤقت.

منذ بعض الإضافات لا ينظر في مصدر HTML؛ للعثور على جميع الإضافات المثبتة لديك للحصول على أكثر عدوانية. وهناك عدد من الأدوات التي يمكن أن القوة الغاشمة المعروف قوائم البرنامج المساعد من مسار / الفسفور الابيض بين المحتوى / الإضافات / * المساعد لاختبار * /. فإن استجابة خادم الويب عادة ما تكشف الدلائل صالحة بدلا من الدلائل غير معروفة على خادم الويب مع رمز استجابة HTTP لها.

تعداد العضو

اكتشاف أسماء حسابات المستخدمين للموقع، ويسمح لك بعد ذلك للهجوم على كلمات السر من هؤلاء المستخدمين من خلال نموذج تسجيل الدخول وورد. سنذهب من خلال مهاجمة كلمة المرور في المقطع التالي، ليتيح الآن تعداد مستخدمي الموقع.

في التثبيت الافتراضي يجب أن تكون قادرة على العثور على مستخدمي الموقع من قبل بالتكرار عبر ال هوية المستخدم وإلحاق بهم إلى URL المواقع. على سبيل المثال /؟ مؤلف = 1. مضيفا 2 ثم سوف 3 الخ إلى URL تكشف عن المستخدمين معرف تسجيل الدخول إما من خلال إعادة توجيه 301 مع الموقع HTTP رأس

وبعد ان حسابات المستخدمين صالحة أن تكون مفيدة جدا عندما يتعلق الأمر الغاشمة كلمات السر إجبار. آلية التعداد يمكن للمستخدم أن يقوم بها الأدوات المذكورة في قسم الغاشمة مما اضطر أدناه.

مهاجمة المستخدمين

الهجوم الأكثر شيوعا ضد المستخدم وورد هو الغاشمة اضطر كلمة المرور لحساب للوصول إلى الجهة الخلفية للنظام وورد. وتشمل طرق أخرى كلمة مرور يمكن أن يتعرض للخطر استنشاق كلمة المرور في نص واضح عبر جلسة تسجيل الدخول HTTP أو حتى الحصول على وثائق تفويض من أساسي ومسجل على محطة العمل من مسؤول وورد.

وأكثر المناطق المرغوبة حسابات مع وصول مستوى المسؤول بعد نظرا لكمية من الأذى يمكن للمستخدم المشرف الحصول على ما يصل إلى؛ مضيفا قذائف قيادة PHP أو جافا سكريبت الخبيثة مباشرة من خلال واجهة الادارة هي الأمثلة الشائعة.

القوة الغاشمة الفسفور الابيض بين تسجيل الدخول

مع أسماء المستخدمين جمعنا خلال جمع المعلومات يمكننا البدء (أو مجرد محاولة المشرف). نلقي نظرة على نموذج تسجيل الدخول /wp-login.php. لاحظ كيف تؤكد تسجيل الدخول الفاشلة اسم المستخدم عند إدخال كلمة مرور غير صحيحة. وهذا مفيد جدا للمهاجم. بل هو أيضا يجعل الأمور أكثر ملاءمة للمستخدمين للمستخدم النهائي الذي نسي اسم المستخدم وكلمة المرور. وقد نوقشت هذه "الميزة"، وتقرر إبقاء هذا الرد في غضون رمز وورد.

الغاشمة مما اضطر حسابات المستخدمين من الممكن استخدام عدد من الأدوات مفتوحة المصدر. وبالإضافة إلى ذلك هناك دودة الأخيرة مثل النصوص المتاحة التي تم نشر خلال interwebs وورد، والبحث عن وتنتشر في مواقع وورد مع ضعف كلمات السر الادارة.

الأداة WPScan هي واحدة من أفضل ما هو متاح عندما يتعلق الأمر اختبار تثبيت وورد من منظور الاسود. أنها قادرة على الغاشمة الإضافات القوة، والكشف عن الموضوعات الضعيفة، تعداد المستخدمين وحسابات القوة الغاشمة.

هنا هو مثال الإخراج من اختبار جريت مع WPScan ضد نهاية المنخفضة الرقمية المحيط VPS ($ 5 / شهر) حيث كنت قد ركبت تثبيت افتراضي من وورد.

يتيح مراجعة الإخراج، 500 كلمات السر اختباره ضد الحساب "testadmin" (التي تم اكتشافها أثناء تعداد المستخدم). تم اختبار هذه 500 كلمات المرور في 1 دقيقة و 16 ثانية! في حين كان اختبار ادارة الموقع ما زال يستجيب. أن مسؤول خادم الويب ليس لديهم فكرة وقوع الهجوم دون نوعا من نظام مراقبة سجل الأمان في مكان (OSSEC يفعل ذلك بشكل جيد جدا).

و"500 أسوأ" قائمة كلمات المرور المستخدمة أعلاه هي من الأمن الجمجمة. الموقع يحتوي على عدد كبير من قوائم كلمة المرور بما في ذلك قائمة rockyou 60MB يحتوي على العديد اكثر من 500 كلمات السر!

NMAP الماسح الضوئي ميناء يمكن أن تفعل أكثر بكثير من مجرد العثور على المنافذ المفتوحة. الإصدارات الأخيرة من NMAP تأتي واحدة مع البرامج النصية NSE التي يمكن استخدامها لاختبار العديد من نقاط الضعف المختلفة. بما في ذلك تعداد المستخدمين وكلمات السر الغاشمة تجبر ورد.

الناتج أعلاه يظهر مثال التشغيل باستخدام برنامج نصي NSE HTTP-ورد-تعداد تعداد مستخدمي وورد.

أعلاه هو النتائج من الغاشمة مما اضطر ورد حسابات باستخدام البرنامج النصي NSE HTTP-ورد-الغاشمة.

بالنسبة لأولئك دراية أمن تطبيقات الويب اختبار أداة التجشؤ جناح دخيل يمكن أن تستخدم أيضا لالغاشمة مما اضطر كلمات السر وورد. A محاولة ورد الدخول هو مجرد طلب POST بعد كل شيء.

القبض على وثائق التفويض على غير آمن تسجيل الدخول

دون اتخاذ تدابير أمنية إضافية في مكان (SSL)، الوصول إلى / WP-المشرف / لوحة القيادة هو عبر اتصال غير مشفرة. وهذا يعني إذا كنت ادخل الى الموقع وورد الخاص بك على شبكة غير آمنة مثل اللاسلكية في متجرك القهوة المحلية أو المطار تسجيل الدخول وكلمة السر لإدارة الموقع يمكن التقاطها بواسطة مهاجم ببساطة من خلال مشاهدة جلسة العمل الخاصة بك.

مهاجمة التطبيق

الإضافات والموضوعات وورد الأساسية كل تحتوي على كمية كبيرة من التعليمات البرمجية PHP من المطورين في جميع أنحاء العالم. هؤلاء المطورين لديهم قدرات مختلفة والتركيز عندما يتعلق الأمر الى كتابة برامج آمنة. لهذا السبب هناك الآلاف من نقاط الضعف للاستغلال المتاحة للمهاجمين. تحديث الإضافات، يجب أن يكون وورد الأساسية والسمات مهمة روتينية لأي مدير ورد لضمان تصحيحها نقاط الضعف المعروفة.

وتشمل نقاط الضعف المشتركة XSS، حقن SQL، وتحميل الملفات وتنفيذ التعليمات البرمجية. كل هذه يمكن أن يكون لها عواقب مدمرة وإلى موقع وورد. بحث عن طريق Metasploit وexploit-db.com للقوائم البق وورد للاستغلال.

أفضل الوسائل لإجبار الغاشمة الإضافات المثبتة هي مماثلة لتلك المستخدمة لكلمات السر القوة الغاشمة. الأداة WPScan لديه خيار للبحث عن كافة الإضافات، الإضافات الأكثر شعبية أو فقط الإضافات الضعيفة. برنامج نصي NMAP NSE متاح لالغاشمة مما اضطر الإضافات أيضا. لاحظ أن الغاشمة مما اضطر الآلاف من مسارات المساعد سيؤدي إلى الآلاف من 404 إدخالات لم يتم العثور على في ملف سجل خادم الويب.

الإضافات والموضوعات التي تم تثبيتها ولكن لم يتم تمكين، لا يزال يعرض نقاط الضعف كما رمز سيئة قد تكون في متناول مباشرة من خلال مسار على شبكة الإنترنت. ومثال على هذا تكون وظيفة تحميل الضعيفة، التي تسمح يتضمن ملف محلي أو بعيد. حتى لو لم يتم تمكين المساعد / الموضوع وظيفة تحميل لا يزال يعمل عبر الوصول المباشر ملف PHP في مسار على شبكة الإنترنت. الغاشمة مما اضطر موقع هذه الملفات الضعيفة هو هجوم شائع جدا عن طريق مسح السير.

مهاجمة خادم

اختبار تطبيق ورد في حد ذاته هو جزء واحد فقط لضمان موقع الويب الخاص بك هو آمن. يجب أيضا أن تبقى الخادم الذي يستضيف موقع آمن.

إدارة الحسابات القوة الغاشمة

وهناك نجاح هجوم القوة الغاشمة ضد حساب إدارة الخادم يمنح مهاجم حق الوصول الكامل إلى الخادم وتطبيق WordPress.

الخدمات التي يمكن أن تتعرض للهجوم مع التخمين القوة الغاشمة كلمة السر ما يلي:

  • خدمة SSH
  • خدمة قاعدة بيانات MySQL
  • ملقم إدارة ويب مين
  • لوحة التحكم أو WHCMS استضافة المواقع لوحات التحكم
  • بريس تطبيق إدارة قواعد البيانات

لتقليل فرصة لتسوية حساب إدارة تطبيق القواعد العادية.

  • استخدام كلمات مرور قوية في كل مكان، لا إعادة استخدامها!
  • نقل SSH إلى منفذ مختلف
  • استخدام SSL لخدمات إدارة على شبكة الإنترنت
  • عناوين IP القائمة البيضاء التي يمكن الاتصال على الخدمات

مآثر برنامج الخادم

يمكن استغلال الثغرات الأمنية تكون موجودة في برنامج الخادم أو نظام التشغيل. أمثلة يمكن العثور على أي قائمة بريدية الضعف، وقد استخدمت يستغل حقن SQL مؤخرا بنجاح ضد WHMCS لجنة البرنامج بشعبية كبيرة على شبكة الإنترنت استضافة السيطرة. وقد بريس طويلة تطبيق المفضل لهجوم، بسبب شعبيتها، وقائمة طويلة من الضعف.

التكوين برنامج الخادم

في كثير من الأحيان يمكن إدخال نقاط الضعف مرات الأمن بحتة من خلال التكوين من خدمة أو سوء ممارسة الإدارة.

أدوات لإيجاد الأمن نقاط ضعف في الخادم

هذه الأدوات يمكن استخدامها من قبل المهاجمين والمدافعين عن العثور على القضايا الأمنية على الملقم الهدف. هي الأمثلة الثلاثة أدناه أمثلة على ذلك. هناك العديد من أدوات اختبار الأمان الأخرى التي يمكن استخدامها للعثور على الأنظمة الضعيفة؛ كلا مصدر تجاري ومفتوحة.

مفتوح الضعف الماسح الضوئي مصدر مع مجموعة من الإضافات التي يبلغ عددهم ما يقرب من 30000، والإضافات اختبار العديد من الجوانب المختلفة للجهاز النظام أو الشبكة.

اختبار المنافذ المفتوحة ومدى فعالية الجدار الناري هو حماية نظام مع NMAP ميناء ماسحة معروفة. جدار الحماية تكوين جيدا أن يسمح فقط الوصول إلى الخدمات المطلوبة يجعل مهمة المهاجمين أصعب بكثير.

ماسحة الضعف التي تركز على خادم الويب، ويتطلع للمخطوطات الضعيفة المعروفة، والأخطاء التكوين وغيرها من المواد خادم الويب المثيرة للاهتمام. الأداة Nikto التي كانت موجودة لسنوات عديدة حتى الآن لا يزال لديه مكان في مربع الأدوات اختبار الاختراق.

أو الاشتراك في على الإنترنت الوصول إلى WPScan متقدمة. NMAP. Nikto وOpenVAS الماسحات الضوئية.


هناك العديد من الأسباب لماذا هاجمت مواقع وورد. فهم أنه لا يحدث، ولا تكون ثمرة شنقا منخفضة. إبقاء كل شيء حتى الآن، والحفاظ على نسخ احتياطية بشكل منتظم، نفذ تصلب الأساسي، وإذا كنت جني دخل منه. اختبار الأمان بانتظام ووضوح مع الوقت الحقيقي رصد (مثل OSSEC).

نلقي نظرة على متابعة آخر لهذا المقال الدفاع عن وورد مع OSSEC.

شاهد هذا الفيديو!

مقالات ذات صلة

سيو جملة 2 5 مقابل استضافة وورداختيار نظام إدارة المحتوى (CMS) هو قرار هام يمكن أن يكون لها تداعيات ضخمة لموقع الويب الخاص بك. هناك عدد المتاحة، ولكل منها مزاياها الخاصة وسلبيات، و...
قالب Instalar أون استضافة جملةالصفحة الرئيسية التشغيل السريع الأساسية دروس تثبيت حزمة التشغيل السريع 3 القالب جملة للحصول على موقع على شبكة لحظة جملة! هو الوحش معقدة، مع الكثير من الخيارات والإعدادات التي يمكن أن تجعل ...
قديم عملية قاعدة بيانات استضافة جملةالصفحة الرئيسية التشغيل السريع الأساسية دروس تثبيت حزمة التشغيل السريع 3 القالب جملة للحصول على موقع على شبكة لحظة جملة! هو الوحش معقدة، مع الكثير من الخيارات والإعدادات التي يمكن أن تجعل ...
كيفية إضافة قالب مخصص لجملة استضافةالصفحة الرئيسية الأساسية دروس دليل إلى دليل جملة تركيب قالب آخر تحديث: 20 نوفمبر 2015 الفئة: دروس بسيطة مع الكثير من الخيارات وإمكانيات التخصيص في ...
حزم اللغة استضافة جملةالمراجع ↑ PHP 5.3.1 مطلوب للإصدارات 3.0 خلال 3.2. في 3.3، يتم رفع الحد الأدنى لPHP 5.3.10. فقط جملة! الإصدارات 3.5 و في وقت لاحق متوافقة مع PHP 7. ↑ جملة ليست بعد ...