Открытые точки входа WordPress

Маршруты WordPress, отвечающие кому угодно: маршрут users перечисляет логины всех авторов, а xmlrpc.php — та точка, через которую подбирают пароли, потому что она позволяет много попыток за один запрос.

• Помощь

WordPress из коробки открывает несколько публичных точек входа, которые удобны для интеграций — и ровно так же удобны для атакующих. Строка появляется, только если SiteScan распознал сайт как WordPress и хотя бы одна из них ответила, поэтому это всегда находка.

• user-enumeration — /wp-json/wp/v2/users вернул список авторов с полем slug, которое обычно совпадает с логином. Половина работы по подбору пароля уже сделана за атакующего.
• xmlrpc — включён /xmlrpc.php. Его метод system.multicall упаковывает сотни попыток входа в один запрос, поэтому инструменты перебора предпочитают его форме входа.
• readme — на месте /readme.html, где указана точная версия WordPress, а значит, и подходящие к ней опубликованные эксплойты.

Сканер только читает ответы: массив объектов пользователей, сообщение «XML-RPC server accepts POST requests only», номер версии в readme. Ответ 401, пустой массив или 404 считаются закрытым доступом. Забытый wp-config.php.bak попадает в строку файлов после деплоя.

Как исправить

Отключите XML-RPC, если он не нужен Jetpack или мобильному приложению (переключатель есть в плагинах безопасности, или запретите xmlrpc.php на сервере), закройте маршрут users для неавторизованных запросов и удаляйте readme.html после каждого обновления. И держите сам WordPress обновлённым — см. определение CMS.