Дорки и взлом WordPress

Всем привет! Весьма необычная тема для обсуждения. Я бы даже сказал наболевшая. В этой статье я не собираюсь рассказывать как взламывать WordPress, а наоборот, покажу как найти дыры в сайте, которыми могут воспользоваться хакеры. Поэтому всяких личностей, желающих изучить реальный взлом WordPress, прошу покинуть эту страницу.

Я уже рассказывал в статье «Вирус и паранойя» о моём эксперименте по созданию сайта с банальным логином и паролем. Так вот, после взлома моего тестового проекта я задумался о дырах, которыми пользуются хакеры для получения доступа к данным.

По сути, уязвимости в безопасности могут быть разного происхождения, как и сама цель взлома WordPress. Да и реалии таковы, что последствия взлома можно заметить, или так и оставаться в неведении. О чём же я пытаюсь рассказать? Итак, далее я расскажу о том, как появляются дыры и о целях взлома WordPress.

Дыры

Любой разработчик CMS прежде чем выпустить свой продукт или обновление, проводит всестороннее тестирование. Одной стороной, как вы уже догадались, является безопасность. И знания о методах взлома WordPress, которые доступны разработчикам на дату выхода очередного обновления, имеют исчерпывающее значение.

Итак, представьте ситуацию, сегодня вышло обновление CMS. «Вася Пупкин», который неплохо так шарит в PHP, уважаемый член общества без общества, за полчаса придумал крутейшим метод взлома WordPress с последним обновлением. Он гордится собой и жаждет показать на что способны его жилистые мизинцы от капслока и энтера. А в это время, тысячи админов радуются новому обновлению CMS, ведь оно внесло ряд существенных улучшений в их и так уж нелёгкий труд. Но «Василий» в боевой готовности. Он запасся чебуреками и вот-вот приступит к делу. И вот случилось, слышен треск электрического счётчика, по всему дому начал мигать свет, соседний дом вообще погас — «Вася Пупкин» запустил программу CyD Network Utilities. Предварительно он уже установил обновление движка и теперь его задачей является анализ дыр апдейта:

На скриншоте выше перечислены наиболее известные пути завладения данными вашего сайта. На самом деле их намного больше:

• Underprotected APIs
• SQL Injection
• Insufficient Attack Protection
• XSS (Cross-Site Scripting)
• Broken Access Control
• Using Components with Known Vulnerabilities
• Security Misconfiguration
• Sensitive Data Exposure
• Broken Authentication and Session Management
• CSRF (Cross-Site Request Forgery)

После получения доступа к базе данных, например, через SQL-инъекцию, «Вася» может скопировать логины и пароли всех пользователей сайта. И после этого спокойно выйти сухими из воды, а далее продать базу для email-рассылок. И вы ничего даже не заподозрите. Страшно? Мне да. Я живой человек, такой как все, и взлом WordPress, меня немного пугает. Я понимаю, что взламывается абсолютно всё, а блоги меньше всего подвергаются взлому, да и кому это нужно, кроме как конкурентам, но всё же…

Где скачать CyD Network Utilities

Итак, где скачать программу для анализа дыр сайтов: по этой ссылке.

CyD Network Utilities — это легальная программа. И несмотря на то что она не обновлялась с 2013 года, программа отлично справляется с поиском дыр сайта. В сети вы можете встретить кучу материала по дорк-запросам на сервер и прочее, поэтому не стоит путать дорки с дырами. Дорк — это набор специальных запросов, для выявления дыр в безопасности. Существуют даже специальные ресурсы с подготовленными дырявыми сайтами. Например, компания Exploit-DB занимается обучением в области информационной безопасности и любезно предоставляет услуги пантеста. А пантест — это тестирование и проникновение.

Как пользоваться CyD Network Utilities

Так, о чём я? Ах да, как пользоваться CyD Network Utilities? Здесь всё просто. Необходимо открыть программу и перейти в меню «Security» — «Test WEB server security»:

Далее, в поле «WEB Site URL» вводите адрес анализируемого сайта:

Затем кликаете по кнопке с изображением зелёной молнии:

Теперь, в уже знакомом окне отмечаете галкой интересующие дорки и кликаете «ОК»:

Время анализа может занять как минуту, так и несколько часов. Это зависит от структуры сайта и его размера. Касательно скорости интернета, увы, ничего не могу сказать, так как нет возможности протестировать работу программы на маленькой скорости доступа в сеть.

В качестве примера, я отыскал сайт на движке WordPress с дырой для применения SQL-инъекции. Это сайт afisha.tlt.ru. Результат сканирования дорком SQL Injection два урла:

А вот сами урлы:

И это при том условии, что я сканировал сайт лишь SQL-дорком. Да и нет 100% гарантий, что получится произвести взлом WordPress через эти урлы. В свою очередь, как законопослушный гражданин, я сообщил администрации afisha.tlt.ru о дыре в безопасности. Надеюсь, в скором времени они исправят недочёты.

Но даже если вы обладаете навыками взлома WordPress, то не вздумайте совершать преступление. Цель моей статьи показать один из методов определения дыр в сайте, и не более того.

Существуют более новые программы для анализа сайтов как на бесплатной, так и на коммерческой основе. Поэтому, если есть желание, можете поискать их самостоятельно.

Причины появления дыр

Причинами появления дыр в сайте могут являться:

• ошибки разработчиков CMS
• плагины
• темы
• доступ к файлам и папкам на хостинге
• ваши личные «доработки» кода

Мой вам совет — если не знаете что делаете, то лучше не делайте! Веб-сайт — это не игрушка. Всё что делается в просторах сети может мгновенно обернуться против вас. Это не дом с семью замками, где никто из внешнего мира не знает какие песни вы поёте в душе.

Цель взлома

Цель взлома WordPress вашего сайта может быть разная:

• конкуренция
• коммерческая выгода от продажи базы подписчиков
• коммерческая выгода от использования данных о зарегистрированных пользователей
• баловство
• оттачивание навыков и т.д.

В любом случае, взлом WordPress, как и любого другого CMS и самописного сайта — это уголовно наказуемое деяние!

А на этом всё, желаю всем ни SQL-инъекции, ни брутфорс-атак. В следующих статьях я расскажу как защитить WordPress от практически всех хакерских атак. Одна такая статья уже опубликована: «All In One WP Security».