Wordpress
Aprenda e pratique AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique GCP Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Acesse hoje:
Informações Básicas
Arquivos enviados vão para: http://10.10.10.10/wp-content/uploads/2018/08/a.txt
Os arquivos de temas podem ser encontrados em /wp-content/themes/, então se você alterar algum php do tema para obter RCE, provavelmente usará esse caminho. Por exemplo: Usando o tema twentytwelve você pode acessar o arquivo 404.php em: /wp-content/themes/twentytwelve/404.php
Outra URL útil pode ser: /wp-content/themes/default/404.php
No wp-config.php você pode encontrar a senha root do banco de dados.
Caminhos de login padrão para verificar: /wp-login.php, /wp-login/, /wp-admin/, /wp-admin.php, /login/
Arquivos Principais do WordPress
index.php
license.txt
contém informações úteis, como a versão do WordPress instalada.wp-activate.php
é usado para o processo de ativação por e-mail ao configurar um novo site WordPress.Pastas de login (podem ser renomeadas para ocultá-las):
/wp-admin/login.php
/wp-admin/wp-login.php
/login.php
/wp-login.php
xmlrpc.php
é um arquivo que representa um recurso do WordPress que permite que dados sejam transmitidos com HTTP atuando como o mecanismo de transporte e XML como o mecanismo de codificação. Esse tipo de comunicação foi substituído pela REST API do WordPress.A pasta
wp-content
é o diretório principal onde plugins e temas são armazenados.wp-content/uploads/
é o diretório onde quaisquer arquivos enviados para a plataforma são armazenados.wp-includes/
Este é o diretório onde arquivos principais são armazenados, como certificados, fontes, arquivos JavaScript e widgets.wp-sitemap.xml
Nas versões do WordPress 5.5 e superiores, o WordPress gera um arquivo XML de sitemap com todas as postagens públicas e tipos de postagens e taxonomias publicamente consultáveis.
Pós-exploração
O arquivo
wp-config.php
contém informações necessárias para o WordPress se conectar ao banco de dados, como o nome do banco de dados, host do banco de dados, nome de usuário e senha, chaves de autenticação e sais, e o prefixo da tabela do banco de dados. Este arquivo de configuração também pode ser usado para ativar o modo DEBUG, que pode ser útil na solução de problemas.
Permissões de Usuários
Administrador
Editor: Publica e gerencia suas postagens e as de outros
Autor: Publica e gerencia suas próprias postagens
Contribuidor: Escreve e gerencia suas postagens, mas não pode publicá-las
Assinante: Navega pelas postagens e edita seu perfil
Enumeração Passiva
Obter versão do WordPress
Verifique se você pode encontrar os arquivos /license.txt
ou /readme.html
Dentro do código-fonte da página (exemplo de https://wordpress.org/support/article/pages/):
grep
meta name
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-50bf07ade58e70bab23a0cca05204a1bd07b8b2d%252Fimage%2520%281111%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c6f3f45f&sv=1)
Arquivos de link CSS
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-82a942408ce69ff92471e41f0d334db258a87bb2%252Fimage%2520%28533%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=ebc471c&sv=1)
Arquivos JavaScript
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-cd734fb04458eb19f18f9a1df50c912d69743da1%252Fimage%2520%28524%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=c96d669&sv=1)
Obter Plugins
Obter Temas
Extrair versões em geral
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Obtenha Acesso Hoje:
Enumeração ativa
Plugins e Temas
Você provavelmente não conseguirá encontrar todos os Plugins e Temas possíveis. Para descobrir todos eles, você precisará forçar ativamente uma lista de Plugins e Temas (esperançosamente para nós, existem ferramentas automatizadas que contêm essas listas).
Usuários
ID Brute
Você obtém usuários válidos de um site WordPress forçando IDs de usuários:
Se as respostas forem 200 ou 30X, isso significa que o id é válido. Se a resposta for 400, então o id é inválido.
wp-json
Você também pode tentar obter informações sobre os usuários consultando:
Outro endpoint /wp-json/
que pode revelar algumas informações sobre os usuários é:
Note que este endpoint expõe apenas usuários que fizeram uma postagem. Apenas informações sobre os usuários que têm esse recurso ativado serão fornecidas.
Também note que /wp-json/wp/v2/pages pode vazar endereços IP.
Enumeração de nomes de usuário de login
Ao fazer login em /wp-login.php
, a mensagem é diferente se o nome de usuário existe ou não.
XML-RPC
Se xml-rpc.php
estiver ativo, você pode realizar um ataque de força bruta de credenciais ou usá-lo para lançar ataques DoS a outros recursos. (Você pode automatizar esse processo usando isso por exemplo).
Para ver se está ativo, tente acessar /xmlrpc.php e envie esta solicitação:
Verificar
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2Fh3llwings.files.wordpress.com%2F2019%2F01%2Flist-of-functions.png%3Fw%3D656&width=768&dpr=4&quality=100&sign=788583b9&sv=1)
Força Bruta de Credenciais
wp.getUserBlogs
, wp.getCategories
ou metaWeblog.getUsersBlogs
são alguns dos métodos que podem ser usados para forçar credenciais. Se você conseguir encontrar algum deles, pode enviar algo como:
A mensagem "Nome de usuário ou senha incorretos" dentro de uma resposta de código 200 deve aparecer se as credenciais não forem válidas.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-87fc7beeae571cb15445d9dcb13b6841933c0ce7%252Fimage%2520%28721%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=e9168d8a&sv=1)
Usando as credenciais corretas, você pode fazer o upload de um arquivo. Na resposta, o caminho aparecerá (https://gist.github.com/georgestephanis/5681982)
Também há uma maneira mais rápida de forçar credenciais usando system.multicall
, pois você pode tentar várias credenciais na mesma solicitação:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-e0eebcc35136b55d285190584c890de34cb4ce31%252Fimage%2520%28628%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=86c92026&sv=1)
Bypass 2FA
Este método é destinado a programas e não a humanos, e é antigo, portanto não suporta 2FA. Então, se você tiver credenciais válidas, mas a entrada principal estiver protegida por 2FA, você pode ser capaz de abusar do xmlrpc.php para fazer login com essas credenciais contornando 2FA. Note que você não poderá realizar todas as ações que pode fazer através do console, mas ainda pode conseguir chegar ao RCE, como Ippsec explica em https://www.youtube.com/watch?v=p8mIdm93mfw&t=1130s
DDoS ou varredura de portas
Se você conseguir encontrar o método pingback.ping na lista, pode fazer o Wordpress enviar uma solicitação arbitrária para qualquer host/porta. Isso pode ser usado para pedir milhares de sites Wordpress para acessar uma localização (causando assim um DDoS nessa localização) ou você pode usá-lo para fazer o Wordpress escanear alguma rede interna (você pode indicar qualquer porta).
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-aea4b23cdd94102884b2c4c8d3a1a3f95a65065f%252F1_JaUYIZF8ZjDGGB7ocsZC-g.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=34a2c083&sv=1)
Se você receber faultCode com um valor maior que 0 (17), isso significa que a porta está aberta.
Dê uma olhada no uso de system.multicall
na seção anterior para aprender como abusar desse método para causar DDoS.
DDoS
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-f6954fe287e981515a934d460113bd273380fc47%252Fimage%2520%28110%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8e3552c1&sv=1)
wp-cron.php DoS
Este arquivo geralmente existe na raiz do site Wordpress: /wp-cron.php
Quando este arquivo é acessado, uma consulta MySQL "pesada" é realizada, então pode ser usado por atacantes para causar um DoS.
Além disso, por padrão, o wp-cron.php
é chamado em cada carregamento de página (sempre que um cliente solicita qualquer página do Wordpress), o que em sites de alto tráfego pode causar problemas (DoS).
É recomendado desabilitar o Wp-Cron e criar um cronjob real dentro do host que execute as ações necessárias em um intervalo regular (sem causar problemas).
/wp-json/oembed/1.0/proxy - SSRF
Tente acessar https://worpress-site.com/wp-json/oembed/1.0/proxy?url=ybdk28vjsa9yirr7og2lukt10s6ju8.burpcollaborator.net e o site Wordpress pode fazer uma solicitação para você.
Esta é a resposta quando não funciona:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-4f397783c2051b0d7102974efba93862fb6e7bcf%252Fimage%2520%28365%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d4973721&sv=1)
SSRF
Esta ferramenta verifica se o methodName: pingback.ping e para o caminho /wp-json/oembed/1.0/proxy e se existe, tenta explorá-los.
Ferramentas Automáticas
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Obtenha Acesso Hoje:
Obtenha acesso sobrescrevendo um bit
Mais do que um ataque real, isso é uma curiosidade. No CTF https://github.com/orangetw/My-CTF-Web-Challenges#one-bit-man você poderia inverter 1 bit de qualquer arquivo wordpress. Assim, você poderia inverter a posição 5389
do arquivo /var/www/html/wp-includes/user.php
para NOP a operação NOT (!
).
Painel RCE
Modificando um php do tema usado (credenciais de administrador necessárias)
Aparência → Editor de Tema → Template 404 (à direita)
Altere o conteúdo para um shell php:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-34081bf3a78aa2c1f724d60200556e1d57234101%252Fimage%2520%28384%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=f4d10bba&sv=1)
Pesquise na internet como você pode acessar essa página atualizada. Neste caso, você deve acessar aqui: http://10.11.1.234/wp-content/themes/twentytwelve/404.php
MSF
Você pode usar:
to get a session.
Plugin RCE
PHP plugin
Pode ser possível fazer upload de arquivos .php como um plugin. Crie seu backdoor em php usando, por exemplo:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-d16665578087eeeeabbc220c92bac5d7569bc787%252Fimage%2520%28183%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=9915aeea&sv=1)
Então adicione um novo plugin:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-8668dea5b059b1fc486cb53cde1d8d65b849a027%252Fimage%2520%28722%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=8d1123c6&sv=1)
Faça o upload do plugin e pressione Instalar Agora:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-12c26ff94b8d74da8199129602062d6b390dfae5%252Fimage%2520%28249%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=adf74494&sv=1)
Clique em Procced:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-a18257e302f3bae245bef01690197799da17fdb7%252Fimage%2520%2870%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=d7b3e8aa&sv=1)
Provavelmente isso não fará nada aparentemente, mas se você for para Mídia, verá seu shell carregado:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-5d706c741824ed569e0401c561099cb720ae1a49%252Fimage%2520%28462%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=192154b8&sv=1)
Acesse-o e você verá a URL para executar o reverse shell:
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-56a77483c7b7c56d4c76d92502ca78fb0a77667d%252Fimage%2520%281006%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=47a60710&sv=1)
Upload e ativação de plugin malicioso
Este método envolve a instalação de um plugin malicioso conhecido por ser vulnerável e pode ser explorado para obter um web shell. Este processo é realizado através do painel do WordPress da seguinte forma:
Aquisição do Plugin: O plugin é obtido de uma fonte como o Exploit DB como aqui.
Instalação do Plugin:
Navegue até o painel do WordPress, depois vá para
Painel > Plugins > Fazer Upload do Plugin
.Faça o upload do arquivo zip do plugin baixado.
Ativação do Plugin: Uma vez que o plugin esteja instalado com sucesso, ele deve ser ativado através do painel.
Exploração:
Com o plugin "reflex-gallery" instalado e ativado, ele pode ser explorado, pois é conhecido por ser vulnerável.
O framework Metasploit fornece um exploit para essa vulnerabilidade. Carregando o módulo apropriado e executando comandos específicos, uma sessão meterpreter pode ser estabelecida, concedendo acesso não autorizado ao site.
É observado que este é apenas um dos muitos métodos para explorar um site WordPress.
O conteúdo inclui auxílios visuais que retratam os passos no painel do WordPress para instalar e ativar o plugin. No entanto, é importante notar que explorar vulnerabilidades dessa maneira é ilegal e antiético sem a devida autorização. Essas informações devem ser usadas de forma responsável e apenas em um contexto legal, como pentesting com permissão explícita.
Para passos mais detalhados, confira: https://www.hackingarticles.in/wordpress-reverse-shell/
De XSS a RCE
WPXStrike: WPXStrike é um script projetado para escalar uma vulnerabilidade de Cross-Site Scripting (XSS) para Remote Code Execution (RCE) ou outras vulnerabilidades críticas no WordPress. Para mais informações, confira este post. Ele fornece suporte para versões do WordPress 6.X.X, 5.X.X e 4.X.X e permite:
Escalação de Privilégios: Cria um usuário no WordPress.
(RCE) Upload de Plugin Personalizado (backdoor): Faça o upload do seu plugin personalizado (backdoor) para o WordPress.
(RCE) Edição de Plugin Integrado: Edite Plugins Integrados no WordPress.
(RCE) Edição de Tema Integrado: Edite Temas Integrados no WordPress.
(Personalizado) Exploits Personalizados: Exploits Personalizados para Plugins/Temas de Terceiros do WordPress.
Pós Exploração
Extraia nomes de usuários e senhas:
Alterar senha de administrador:
Wordpress Plugins Pentest
Superfície de Ataque
Saber como um plugin do Wordpress pode expor funcionalidades é fundamental para encontrar vulnerabilidades em sua funcionalidade. Você pode descobrir como um plugin pode expor funcionalidades nos seguintes pontos e alguns exemplos de plugins vulneráveis em este post do blog.
wp_ajax
Uma das maneiras que um plugin pode expor funções para uso é através de manipuladores AJAX. Estes podem conter bugs de lógica, autorização ou autenticação. Além disso, é bastante comum que essas funções baseiem tanto a autenticação quanto a autorização na existência de um nonce do Wordpress que qualquer usuário autenticado na instância do Wordpress pode ter (independentemente de seu papel).
Estas são as funções que podem ser usadas para expor uma função em um plugin:
O uso de nopriv
torna o endpoint acessível a qualquer usuário (mesmo os não autenticados).
Além disso, se a função estiver apenas verificando a autorização do usuário com a função wp_verify_nonce
, essa função está apenas verificando se o usuário está logado, geralmente não está verificando o papel do usuário. Assim, usuários com privilégios baixos podem ter acesso a ações de altos privilégios.
REST API
Também é possível expor funções do WordPress registrando uma API REST usando a função register_rest_route
:
O permission_callback
é uma função de retorno que verifica se um determinado usuário está autorizado a chamar o método da API.
Se a função interna __return_true
for usada, ela simplesmente ignorará a verificação de permissões do usuário.
Acesso direto ao arquivo php
Claro, o Wordpress usa PHP e os arquivos dentro dos plugins são acessíveis diretamente pela web. Portanto, caso um plugin esteja expondo alguma funcionalidade vulnerável que é acionada apenas acessando o arquivo, ele será explorável por qualquer usuário.
Proteção do WordPress
Atualizações Regulares
Certifique-se de que o WordPress, plugins e temas estejam atualizados. Também confirme que a atualização automática está habilitada em wp-config.php:
Also, instale apenas plugins e temas do WordPress confiáveis.
Plugins de Segurança
Outras Recomendações
Remova o usuário admin padrão
Use senhas fortes e 2FA
Revise periodicamente as permissões dos usuários
Limite tentativas de login para prevenir ataques de Força Bruta
Renomeie o arquivo
wp-admin.php
e permita acesso apenas internamente ou de certos endereços IP.
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas comunitárias mais avançadas do mundo. Obtenha Acesso Hoje:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated