Curso de seguridad y hacking – Parte 6 – Hackear wordpre

Después de un tiempo de espera y a pedido de mucha gente, esta nueva parte del curso de seguridad y hacking. En esta ocación vamos a examinar vulnerabilidades en una plataforma muy conocida, wordpress. Nuestro objetivo será detectar usuarios, claves y plugins de un determinado sitio con wordpress, pero no vamos a atacar ningún dominio, lo vamos a probar con backtrack 5.1 y nuestro objetivo será un Debian preparado como webserver. La herramienta que usaremos será WPSCAN, desarrollada en ruby y de código abierto. Sirve para comprobar si existen vulnerabilidades en nuestro sitio y así poder mitigar cualquier ataque. Vamos a ver como funciona en este pequeño video utilizando el metodo de fuerza bruta y un diccionario (diccionario=archivo de texto plano con muchas claves). link: http://www.youtube.com/watch?feature=player_embedded&v=5cqsfb5RtJs#! Contramedidas: Si bien existen muchas formas vamos a ver algunas simples. 1- Eliminar usuario admin que se instala por defecto. 2- Incorporar el plugin Limit Login Attempts el cual permite bloquear una dirección IP que intenta loguearse más de 4 veces sin exito. Esto bloquea la IP de alguien que este usando el metodo de fuerza bruta. 3- Plugin Secure WordPress Plugin nos va a ayudar a bloquear algunas funciones que estan por defecto y segurizar nuestra web. 4- Otro plugin WordPress Security Scan, nos va a ayudar a identificar fallas de configuración y posibles huecos que pueda tener nuestro site, y tomar medidas para no ser hackeado. 5- Crear un archivo .htaccess en el directorio raíz de nuestro sitio para permitir accesos y mejorar la seguridad. (este archivo lo veremos en detalle más adelante). 6- Utilización de contraseñas seguras. 7- Tener siempre las últimas actualizaciones del sistema y plugins. 8- Los plugins deben ser de autores conocidos y no de dudosa procedencia. Si tenes alguna otra medida compartila. Y si no te olvides de votar en nuestra web si te resulto útil. FUENTE: http://www.nicklabs.com.ar/?p=1644