Como proteger seu site WordPress de possíveis ataques

Krauzer · 17/06/2011

Simplesmente fiquei um pouco "assustado" ao ver esta pequena nota no site Ayuda WordPress en Español - Tutoriales, Themes, Trucos, Traducciones, Plugins y Actualidad onde publicaram um vídeo em que uma pessoa "X" usando a versão BackTrack 5 (Linux) e aplicando um par de comandos conseguiu:

- Extrair os usuários registrados
- Senhas de cada usuário

Através de um ataque de força bruta, apenas olhem e opinem:

[video=youtube;pRj3G12xFjU]http://www.youtube.com/watch?v=pRj3G12xFjU&feature=player_embedded[/video]

Via: WordPress hackeado en menos de 2 minutos | Ayuda WordPress

Fabián Rodríguez · 17/06/2011

Embora eu não saiba se o Backtrack traz esta ferramenta (wp-brute.rb, feita em ruby claro), a única coisa que faz a olho nu é um ataque de força bruta.
Twitter

Angel Ortega · 17/06/2011

Já tinha visto no ayudawordpress e realmente é de se pensar, embora talvez extrair a lista de usuários seja fácil, mas as senhas que expõem ali, são básicas na hora de crackear algo... letmein, password, etc..

Para quebrar uma senha forte podem levar semanas ou meses, ou talvez nunca consigam, por isso sempre usem senhas fortes 😛

looree · 17/06/2011

Angel Ortega disse:
Já tinha visto no ayudawordpress e realmente é de se pensar, embora talvez extrair a lista de usuários seja fácil, mas as senhas que expõem ali, são básicas na hora de crackear algo... letmein, password, etc..

Para quebrar uma senha forte podem levar semanas ou meses, ou talvez nunca consigam, por isso sempre usem senhas fortes 😛

Exato, na verdade não hackeiam o WordPress. Hackeiam senhas que usuários estúpidos poderiam ter. Ninguém vai ter sua senha de admin tão fácil, não?

SoloNegocios · 17/06/2011

Mas isso é pura Força Bruta, para isso existe um Plugin (WordPress › Login LockDown « WordPress Plugins) o qual bane aqueles que tentam fazer essas coisinhas xD

johan · 17/06/2011

ataque de força bruta o firewall do cpanel dispara

Sergio López · 17/06/2011

SoloNegocios disse:
Mas isso é pura Força Bruta, para isso existe um Plugin (WordPress › Login LockDown « WordPress Plugins) o qual bane aqueles que tentam fazer essas coisinhas xD

esse plugin deveria ser básico para quem utiliza WordPress, nunca sabemos quando podemos ser vulnerados por um ataque.. nunca sabemos as intenções dos outros

Usuario eliminado 6846 · 17/06/2011

Incrível, embora tenha me surpreendido mais que um usuário colocasse como senha algo tão simples como password.
Embora eu fique pensando que dicionário ou complemento utilizariam para a força bruta porque ainda assim conseguem exageradamente rápido, digo, que eu saiba, extrair uma senha de 4-5 caracteres só de letras leva a um computador veloz 5-10 mins.

espaforex · 17/06/2011

fiquei admirado com a velocidade com que extraiu essas chaves

Fabián Rodríguez · 17/06/2011

Giezzy disse:
Incrível, embora tenha me surpreendido mais que um usuário colocasse como senha algo tão simples como password.
Embora eu fique pensando que dicionário ou complemento utilizariam para a força bruta porque ainda assim conseguem exageradamente rápido, digo, que eu saiba, extrair uma senha de 4-5 caracteres só de letras leva a um computador veloz 5-10 mins.

Porque usou um dicionário, ou seja, um arquivo com senhas muito comuns.

lucioruiz · 17/06/2011

Tudo está em adicionar um limite de tentativas de login por minuto 😉

ramonjosegn · 18/06/2011

eu em uma ocasião encontrei uma ferramenta online que com apenas selecionar algum dos scripts do site permitia derrubar qualquer site... sem necessidade de força bruta... pois sim, assusta um pouco, mas entendemos que a maioria dos usuários não se dedica a atrapalhar os outros, que os servidores têm seus próprios sistemas de proteção, e que o WordPress tem seus próprios sistemas de defesa (atualizações, Enlace eliminado, cloudflare.com, firewall 2, etc)

lucioruiz disse:
Tudo está em adicionar um limite de tentativas de login por minuto 😉

isso como se faz?

SoloNegocios · 18/06/2011

ramonjosegn disse:
eu em uma ocasião encontrei uma ferramenta online que com apenas selecionar algum dos scripts do site permitia derrubar qualquer site... sem necessidade de força bruta... pois sim, assusta um pouco, mas entendemos que a maioria dos usuários não se dedica a atrapalhar os outros, que os servidores têm seus próprios sistemas de proteção, e que o WordPress tem seus próprios sistemas de defesa (atualizações, Enlace eliminado, cloudflare.com, firewall 2, etc)

isso como se faz?

Este Plugin faz esse trabalho para você (WordPress › Login LockDown « WordPress Plugins) é bom meu irmão, uma vez baniu seu IP porque tentou entrar 3 vezes com a senha incorreta xD

Malenko · 18/06/2011

ramonjosegn disse:
eu em uma ocasião encontrei uma ferramenta online que com apenas selecionar algum dos scripts do site permitia derrubar qualquer site... sem necessidade de força bruta... pois sim, assusta um pouco, mas entendemos que a maioria dos usuários não se dedica a atrapalhar os outros, que os servidores têm seus próprios sistemas de proteção, e que o WordPress tem seus próprios sistemas de defesa (atualizações, Enlace eliminado, cloudflare.com, firewall 2, etc)

Tampouco é preciso um programa para isso. Há sites que têm centenas de exploits para hackear diferentes SOs, CMSs, sistemas de BBDD, burlar firewalls,... só é preciso estar um "pouco" metido no mundinho porque esses sites (os bons) não se encontram buscando no Google 😉

No caso do vídeo é algo que existe há séculos, os ataques por dicionário não são algo específico do WordPress, mas que se usa para tudo. Embora o melhor seja o que dizia antes, encontrar que versão usa e utilizar um exploit específico. Além disso, de pouco serve blindar o WordPress com plugins de defesa quando se pode hackear o WordPress de outras duas formas:
- utilizando falhas do BBDD, ou de ssh, ftp, etc. (isto depende da hospedagem)
- utilizando falhas dos plugins ou das bibliotecas que os plugins utilizam (isto último não se costuma vigiar muito...)

toledano · 18/06/2011

Bom, eu já vi o vídeo... e não parece brute-force, parece ataque de dicionário. E as senhas que ele encontra são palavras de dicionário.

Em força bruta você testa todas as combinações possíveis de um número dado de caracteres: [a-zA-Z0-9]*8

Em um ataque de dicionário, em um ambiente controlado, qualquer um obtém esses resultados em segundos, porque a senha está incluída na sua wordlist!

Ou seja, pessoal.... isso que vocês veem no vídeo é puro ilusionismo.

SoloNegocios · 18/06/2011

Sanchez Toledano disse:
Bom, eu já vi o vídeo... e não parece brute-force, parece ataque de dicionário. E as senhas que ele encontra são palavras de dicionário.

Em força bruta você testa todas as combinações possíveis de um número dado de caracteres: [a-zA-Z0-9]*8

Em um ataque de dicionário, em um ambiente controlado, qualquer um obtém esses resultados em segundos, porque a senha está incluída na sua wordlist!

Ou seja, pessoal.... isso que vocês veem no vídeo é puro ilusionismo.

Sem contar se o Blog é dele mesmo e ele colocou a senha dele no dicionário xD

looree · 18/06/2011

SoloNegocios disse:
Sem contar se o Blog é dele mesmo e ele colocou a senha dele no dicionário xD

ele faz isso no localhost dele, eu acho. ou pelo menos em uma máquina da rede dele. e sim, como já disse, não hackeiam o WordPress, hackeiam senhas estúpidas.

Alan · 18/06/2011

É isso aí... não tem por que se assustar, um "hackeamento" como esse qualquer um pode fazer. Como o Toledano disse, não é nada mais que um ataque de dicionário, porque Brute Force não é nem de longe.

Mcperson · 18/06/2011

O plugin Lockdown é muito bom, eu não o conhecia. Vou implementá-lo.

MentesAlternas · 19/06/2011

Mas aqui o ponto é que não só o WordPress pode ser hackeado por força bruta, mas a maioria dos serviços que utilizam senha, especialmente se ela for pequena,
amigo, não se assuste, sempre faça backups e gere uma senha difícil... abraços

Como proteger seu site WordPress de possíveis ataques

Krauzer

Fabián Rodríguez

Angel Ortega

looree

SoloNegocios

johan

Sergio López

Usuario eliminado 6846

espaforex

Fabián Rodríguez

lucioruiz

ramonjosegn

SoloNegocios

Malenko

toledano

SoloNegocios

looree

Alan

Mcperson

MentesAlternas

Tópicos similares