Este documento discute como WordPress pode ser invadido, apesar de estar atualizado. Ele explica que motivações financeiras e espionagem são razões comuns para ataques, e que plugins e temas vulneráveis, infraestrutura desatualizada e engenharia social são vetores comuns de ataque. Ele também fornece uma prova de conceito de como um ataque de força bruta pode ser realizado para obter acesso à área administrativa.

1. É possível invadir um
WordPress atualizado ?
amilton@justino.pro

2. Sócio e Diretor Cibersegurança da Insight Solution Team.
Apaixonado por redes de computadores desde 1995.
Entusiasta por cybersecurity desde 2008, participa de vários eventos
e acompanha profissionais da área em pesquisas e temas
relacionados.
Atua como "Red Team" fazendo testes de intrusão e avaliações de
vulnerabilidades em infraestruturas em nuvem ou on-premise.
Nos últimos anos tem se dedicado à segurança ofensiva de forma
intensa, afim de conhecer bem o inimigo.
https://insight.inf.br/
Amilton Justino

3. Agenda
● Motivações do atacante
● Calcanhar de aquiles
● Vetores de ataque
● Prova de conceito
● Conclusões

4. Motivações do atacante
Porque Wordpress é atacado?
● É o mais comum dos CMS
● Roubo de recursos (botnets, criptomoedas)
● Motivações financeiras
● Espionagem corporativa
● Vetor de ataques (Dá acesso a muitos alvos)
https://w3techs.com/technologies/history_overview
/content_management
Wordpress
(65%)
Outros
(35%)

5. Calcanhar de Aquiles do Wordpress
https://wpscan.com/statistics

6. Vetores de ataque
● Core/Temas/Plugins vulneráveis
● Infraestrutura desatualizada e/ou compartilhada
● Fator Humano:
Engenharia social (Ph|Sm|V) ishing
Senhas frágeis, Reutilizadas, Baseadas em
dicionário.
*SO, Wordpress, Plugins e temas atualizados neste lab !!

7. POC (Proof Of Concept)

8. POC (Proof Of Concept)
● Enumeração dos usuários (wpscan)
● Geração de listas de palavras (cewl + john the
ripper)
● Ataque de força bruta (wpscan)
● Busca de senhas vazadas (pastes, deepweb)
● Persistência de acesso (php reverse shell)

9. Conclusões
● Anti brute force (Wordfence ou similar)
● Monitoramento (alertas para abuso de CPU, logs, bloqs)
● Senhas complexas, aleatórias e únicas
● Vazamentos precisam ser monitorados
● Conscientização do usuário sobre segurança
● Conte com um profissional da área.

10. amilton@justino.pro
Twitter: @amilton_justino
PGP Key ID 01AD6182
"Try Harder, be skilled, persistent, creative, and perceptive."