Come i bot hanno indovinato la mia pagina di login wordpress?

Molti strumenti di scansione web (ad es. Wikto ) hanno la capacità di lanciare ipotesi bruteforce su un URL. Non c'è nulla che impedisca a un utente malintenzionato di usare un dizionario e di dire curl o wget a bruteforce:

while read line
 do
   wget -qO - http://yoursite.com/$line
 done < /usr/share/dictionary/wordlist

Un compito comune che farei per il pentesting, sarebbe qualcosa di simile a quanto sopra, dove vorrei una copia del sito, analizzerò ogni parola, inserirò ogni parola in una nuova riga, quindi cercherò nel sito le directory di qualsiasi parola elencata sul loro sito. Questo è anche utile per il nome utente alcune volte.

Ora menzioni wordpress, e va detto che quando usi i plugin, alcuni di questi plugin possono contenere "pingback" o "ehi io uso anche questo plugin" dove il tuo sito verrebbe elencato. Questo potrebbe essere un altro vettore in cui un utente malintenzionato ha visto il tuo sito altrove e l'ha preso di mira. Per quanto riguarda WP in generale, siti come " Scritch " possono dire a qualcuno cosa sta girando sul sito (CMS), quali plugin sono in uso , ecc. Quindi immagina quanto segue: Attacker vede il tuo sito su dire un pingback, prende il nome del sito, lo infila in scritch. Determina che ti attaccheranno. Non trovano la pagina di accesso, quindi usano una tattica simile (script di shell) per trovare qualcosa .

Mi preoccuperei poco degli attaccanti e concentrarmi sulla creazione di una regola mod_rewrite o htaccess simile alla seguente:

<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{REQUEST_URI} ^(.*)?oscarfoley\.php(.*)$ [OR]
RewriteCond %{REQUEST_URI} ^(.*)?wp-admin-login$
RewriteCond %{REMOTE_ADDR} !^1\.2\.3\.4$
RewriteCond %{REMOTE_ADDR} !^5\.6\.7\.8$
RewriteRule ^(.*)$ - [R=403,L]
</IfModule> 

Dove 1.2.3.4 è il tuo indirizzo di casa, e 5.6.7.8 è forse la pagina della tua azienda ed è fatta con le preoccupazioni di qualcuno che cerca di entrare in una bruteforce tramite la pagina di accesso. Un'altra alternativa che è la sicurezza attraverso l'oscurità sarebbe quella di creare un URL basato su un checksum SHA1 di una parola, contro una parola. Per es.

$ echo 0sc@r | shasum5.16 -a 1
2ee681adc62a5ca2865bb7424b6a97a9050ddcd4  -

Dove 2ee681adc62a5ca2865bb7424b6a97a9050ddcd4 diventa il tuo URL di accesso. Di nuovo, la sicurezza attraverso l'oscurità, ma la nozione qui è che qualcuno potrebbe indovinare quell'URL, ad un certo punto, è possibile dedurre che il tuo traffico sia stato in qualche modo annusato, o memorizzato in cache da qualche parte.

AGGIUNTA DOVUTO ALLA MODIFICA DELL'OP

Gli 404 di un indirizzo significano poco o un po '. Non hai idea se l'indirizzo che si sta connettendo funzioni in connessione con un altro indirizzo che fa tentativi bruteforce. (ad esempio scansione / condivisione distribuita)

Bene, matita e carta vanno insieme ... quindi forse l'attaccante ha appena indovinato dopo aver trovato

?pencil

/0gGF9ZAt7us0WbnntE3rqqrRK1PohXjU6Kk6tuRfCMMJdJmZIf

la tua soluzione è una pagina di accesso basata su IP. Cioè hai una lista di IP statici, hanno il permesso di aprire la pagina di login effettiva, altri sono reindirizzati a una trappola per raccogliere nome utente e password per un tentativo di effrazione + lista nera di un IP di un utente malintenzionato. Da dove può indovinare? Una risposta è ... il tuo browser barre degli strumenti / addons + antivirus "software di sicurezza". Sì, fanno perdere dati. Anche i registri dei proxy del tuo datore di lavoro potrebbero essere sospetti. Prova un vuoto Linux installato su un Raspberry Pi 2 con un browser vuoto senza addon - e usalo e solo per accedere al tuo wordpress, non usarlo dal proxy del tuo datore di lavoro. E dai un'occhiata: sarà in uso il nuovo indirizzo di accesso.