Odsłonięte punkty końcowe WordPressa

Ścieżki WordPressa odpowiadające każdemu: trasa users wypisuje loginy wszystkich autorów, a xmlrpc.php to punkt, przez który zgaduje się hasła, bo pozwala na wiele prób w jednym żądaniu.

• Pomoc

WordPress udostępnia domyślnie kilka publicznych punktów końcowych, wygodnych dla integracji — i równie wygodnych dla atakujących. Wiersz pojawia się tylko wtedy, gdy SiteScan rozpoznał witrynę jako WordPress i co najmniej jeden z nich odpowiedział, więc zawsze oznacza znalezisko.

• user-enumeration — /wp-json/wp/v2/users zwrócił listę autorów z polem slug, które zwykle jest loginem. Połowa pracy przy zgadywaniu haseł jest już wykonana za atakującego.
• xmlrpc — włączony jest /xmlrpc.php. Jego metoda system.multicall mieści setki prób logowania w jednym żądaniu, dlatego narzędzia brute force wolą ją od formularza logowania.
• readme — nadal istnieje /readme.html, który podaje dokładną wersję WordPressa, a tym samym zawęża listę pasujących, publicznie znanych exploitów.

Skaner tylko czyta odpowiedzi: tablicę obiektów użytkowników, komunikat „XML-RPC server accepts POST requests only”, numer wersji w readme. Odpowiedź 401, pusta tablica lub 404 oznaczają zamknięty dostęp. Pozostawiony wp-config.php.bak trafia do wiersza plików po wdrożeniu.

Jak to naprawić

Wyłącz XML-RPC, jeśli nie potrzebuje go Jetpack ani aplikacja mobilna (wtyczki bezpieczeństwa mają przełącznik albo zablokuj xmlrpc.php na serwerze), ogranicz trasę users do zalogowanych i usuwaj readme.html po każdej aktualizacji. Aktualizuj też sam WordPress — zobacz wykrywanie CMS.