Брут админок wordpress с помощью XRumer. Превращаем мелкого «пакостника» в серийного убийцу

ОСТОРОЖНО. ИНСТРУКЦИИ, ОПИСАННЫЕ НИЖЕ, ВЕДУТ К УГОЛОВНОЙ ОТВЕТСВЕННОСТИ. УК РФ Статья 272.

Не рекомендуется повторять ни кому, ни при каких обстоятельствах.

Всем привет. В рамках конкурса XRumer 2020 решил придумать полностью альтернативный вариант использования данного программного комплекса. Итак, в теме статьи освещена главная задача, которую я попробую выполнить, и донести ее простыми словами так чтобы даже школьник смог разобраться.

Мне стало интересно, как ведет себя XRumer, попадая на страницу админки сайта, я взял свой старенький сайт на wordpress, вбил свой логин с паролем и нажал кнопку тест. XRumer не раздумывая, авторизовался в админке, и даже попытался что то запостить. Дальше я попробовал ввести неверные логин с паролем для теста, чтобы увидеть, как себя поведет XRumer. Итог меня не порадовал. Он, как и прошлый раз, отправил отчет в успешные, вот только к успеху мне пришлось пол дня повозится чтобы заставить его заработать как мне нужно.  

Для начала я создал проект, ввел логин admin, а файл с паролем прикрутил с помощью макроса #file_links (предварительно положив туда 1 правильный пароль и 10 неправильных), в надежде, что они будут браться рандомно, и при попадании в цель у меня будет ожидаемый результат. Как оказалось XRumer берет рандомный пароль для сайта, но только один раз. Потом нужно заново перегружать проект, что ни как не укладывалось в модель перебора пароля.

Я попытался переобучить XRumer и в файле логики xas.txt я изменил данные строки пароля на строку интересов, пологая, что они в отличие от пароля берутся рандомно. Но этот рецепт так же не увенчался успехом. Запуская проект я снова и снова получал статус «использован никнейм "admin"; не нашлось формы для отправки;».

Дальше я попробовал перезагружать проект после каждой попытки с помощью расписания, но это почему то не дало ни каких результатов.

Дальше я понял, что с проектом мне не справиться, и нужно ковырять базу ссылок.

Ответ лежал на поверхности. Я вписал в базу сайт с логином и паролем и получил удачный результат.

Пример:

http://site.ru/wp-login.php U:admin P:PASWORword10

Но и тут я столкнулся с трудностями. Запустив все потоком, я увидел, что  XRumer пишет в успешные все комбинации логинов и паролей.  

Сейчас стоило бы написать «Мои нервы были на пределе». Как то уж совсем в художественном стиле получилось.

Все равно пришлось лезть в логику работы программы.

В папке Debug в файле URLs_Detailed я посмотрел, какие варианты ссылок получает XRumer в случае успешного и неуспешного пароля.

Ссылка из ошибочного входа, редиректила на себя же с параметрами.

 

Зайдя в файл модицикации xurl.txt, который отвечает за то, как ведет себя  XRumer на сайтах, и внес небольшую коррективу выделенную на скриншоте. Суть этой коррективы заключается в условии, что если программа видит в ссылке параметр «reauth=1» она пропускает такую ссылку. Перезагрузив XRumer, я запустил процесс и получил свою заветную единицу.

Дальше я создал несколько десятков сайтов на wordpress, с простыми паролями.  Создал для них базу на подобие указанной выше. Взял большой словарь паролей,  дабы увидеть стабильность описанной схемы. И запустил в 500 потоков. За пару минут XRumer выдал мне успешные ссылки с каждым сайтом, к которому был подобран пароль.

Нашел еще один подводный камень. Хоть факт брута прошел успешно во всех тестируемых случаях, оказалось, что я упустил очень важный момент. У меня не было этих самых правильных паролей. В файле Registered Accounts все так же записывались все пары логин:пароль, а в файле success.txt записывалась только ссылка и логин. Решением стало переключение в режим постинга от заранее зарегистрированного пользователя, и, как оказалось, моя модификация, в этом режиме, была не нужна. XRumer отрабатывал и пытался постить в wordpress сайт выдавая в результате ссылку в теле которой содержался пароль

http://site.ru/wp-admin/?replycontent=PASWORDword10&newcomment_author=admin&newcomment_author_email=&newcomment_author_url=&action=&comment_ID=&comment_post_ID=&status=&position=-1&checkbox=0&mode=dashboard&_ajax_nonce-replyto-comment=46c52fe132&_wp_unfiltered_html_comment=9430dd40ed Result: использован никнейм "admin"; вошли; успех;

Подведем итог. XRumer умеет брутить wordpress. Уверен что с другими движками подобная схема пройдет.

Не советую это повторять с чужими сайтами. Оно не стоит того чтобы получить пару лет тюрьмы.