Ataque masivo a WordPress con ILLOWP

ILLO, ILLO, ILLO OTRO WORDPRESS DESACTUALIZADO

POR JORGE WEBSECWORDPRESSA.QUANTIKA14.COM

WORDPRESSA.QUANTIKA14.COM 2

TÍTULOINDICE

[¡] Autor[¡] ¿Qué es el proyecto WordPressA?[¡] ¿Qué es ILLOWP?

- Alexa top 1 millon - Detectar un WordPress- Vulnerabilidades- Soluciones

[¡] Datos y más datos...[¡] El público aplaude y grita sobre la belleza del ponente ;P


TÍTULO

¿Quizás me recuerden de...?


TÍTULO¿Quien es JORGE WEBSEC?

- Socio fundador de QuantiKa14 - Perito informático socio en APTAN - Creador del Proyecto WordPressA - Colaborador en Canal Sur Radio

@JorgeWebsec


TÍTULO


TÍTULO¿Qué tiene el proyecto WordPressA?

- Nació en 2013 con el objetivo de ordenar proyectos de WordPress en la empresa de QuantiKa14.- Documentación gratuita.- WordPressA Security Plugin.- WordPressA Challenge.- AbueloWP.

wordpressa.quantika14.com


TÍTULO


TÍTULO

Es un proyecto que está dentro de WordPressA y tiene 2 objetivos:

1. Concienciar en la seguridad de WordPress a través del análisis de un big data.

2. Crear una lanzadera de exploits de vulnerabilidades automatizada.

¿Qué es ILLOWP?


TÍTULO

Usaremos:

- Python: para hacer los bots. - MongoDB: para almacenar los datos. - WordPress: para exponer los datos.

¿Qué vamos a usar?


TÍTULO¿Qué es Alexa top web?


TÍTULOCreamos top 1 millón

- Python- Modulos:

+ BeautifulSoup+ UrlLib2

https://github.com/Quantika14/illoWP/

- Python- Modulos:


- Python- Modulos:


- Python- Modulos:


- Python- Modulos:



TÍTULO

- Cada bot tarda una medía de 2 segundos en analizar una web.- 1.000.000 webs = 2.000.000 seg- 33333,34 minutos = 555,56 horas- 555,56 horas = 23,15 días

No morir sentados...


TÍTULOSolución

- Dividimos la lista en partes iguales.

- Creamos ejercito de bots.


TÍTULOSolución

- Contratación de 2 vps en OVH = 10 €

- 10 bots funcionando paralelamente con 3 ips diferentes.


TÍTULOCómo detectar un WP?

Versión 1: ● Buscamos “/wp-content/” en el

html● Buscamos link “xmlrpc.php”● Buscamos el Generator (obvius;)

Versión 2:● Buscamos “/wp-content/” y

comprobamos que tenga el mismo dominio que el target

● Hacemos una comprobación de directorios (aumenta mucho el tiempo)

● Extracción de la versión de los css● Estructura HTML – falsos positivos● Readme.html


TÍTULOQué hacer para no ser detectados?

1. Quitar Generator: Editamos el archivo functions.php de nuestro tema y añadimos la siguiente línea: remove_action('wp_head', 'wp_generator');

2. Quitar readme.html

3. Cambiar ruta “wp-content”: ponemos en wp-config -> define( 'WP_CONTENT_DIR', 'NUEVA RUTA A WP-CONTENT' );

4. Cambiar “/wp-content/uploads”: define('UPLOADS', 'wp-content/archivos');

5. Cambiar acceso de administración:https://es.wordpress.org/plugins/search.php?type=term&q=hide+wp-admin

https://es.wordpress.org/plugins/search.php?type=term&q=hide+wp-admin


TÍTULOEscáner de vulnerabilidades


TÍTULO¿Cuántos WP hay?

Fuente: http://one.elpais.com/gracias-a-el-se-publica-la-cuarta-parte-de-las-webs-del-mundo-matt-mullenweg-fundador-de-wordpress/



Fuente: http://guiadeinternet.com/2014/04/el-22-de-las-webs-de-todo-el-mundo-utilizan-wordpress/



Fuente:https://www.40defiebre.com/estadisticas-wordpress/


TÍTULO¿Cuantos WP hay?

En Alexa Top 1 millón de 2016:

4,2%


TÍTULO¿Entonces qué pasa?


TÍTULOY si...¿?

Fuente: https://es.wikipedia.org/wiki/WordPress


TÍTULOPuede ser que...

1. Al ser el ranking 1 millon mundial el indice de WP baja al no usar cms

2. Seguramente los datos de WP usaran los subdominios de wordpress.com como una web


TÍTULO¿Cuántos están actualizados?

Versión actualizada el 26/09/2016 → 4.6.1

Actualizado

No actualizado

63% No actualizado / 37% Actualizado


TÍTULO¿Qué es el readme.html?


TÍTULO¿Cuántos no tienen el readme.html?

Solo el 17% no tiene readme.html

El 83% tiene el readme.html

CON SIN


TÍTULOAlexa WP Themes

1. divi - by Elegant Themes: https://www.cvedetails.com/cve/CVE-2015-1579/

2. Fashionistas

3. Avada | Responsive Multi-Purpose Theme

4. BeTheme - Responsive Multi-Purpose WordPress Theme

5. Newspaper

https://www.cvedetails.com/cve/CVE-2015-1579/


TÍTULO


TÍTULOCONCLUSIONES

1. Los usuarios de WordPress no son conscientes y responsables de la seguridad de sus web

2. WordPress debe trabajar más en la actualización automática en plugins y themes

3. WordPress debe borrar el readme.html y generator por defecto

4. Viendo la facilidad de los ataques masivos entiendo la gran cantidad de intrusiones que se llevan acabo al día.


TÍTULO¿ALGUNA PREGUNTA?


TÍTULO

MUCHAS GRACIAS

Internet

Ataque masivo a WordPress con ILLOWP