Register for your free account! | Forgot your password?

Go Back   elitepvpers > Coders Den > Web Development
You last visited: Today at 07:58

  • Please register to post and access all features, it's quick, easy and FREE!


Wordpress - Sicherheit

Reply
 
Old   #1
 
elite*gold: 5
Join Date: Sep 2010
Posts: 105
Received Thanks: 30
Wordpress - Sicherheit

yo,

spontan merke ich mal zwei "Sicherheitslücken" bei Wordpress an und fixe Diese für euch. Hauptsächlich geht es bei den Lücken darum, dass der Angreifer die Benutzernamen für den BE-Login herausfinden kann.
  • An eine URL "/wp-json/wp/v2/users" anhängen, um eine Liste aller Nutzer zu bekommen.
  • Die URL /?author=_id_ mit fortlaufender ID scannen. Existiert ein User mit der ID, wird automatisch auf dessen Seite weitergeleitet und dort sieht man in der URL den Loginnamen.

Um das zu verhindern, reichen zwei kleine Funktionen in der functions.php des jeweiligen (Child)-Themes aus.

Code:
function only_allow_logged_in_rest_access( $access ) {
	if( ! is_user_logged_in() ) {
		return new WP_Error( 'rest_cannot_access', __( 'Only authenticated users can access the REST API.', 'disable-json-api' ), array( 'status' => rest_authorization_required_code() ) );
		}
	return $access;
}
add_filter( 'rest_authentication_errors', 'only_allow_logged_in_rest_access' );
Code:
if (!is_admin()) {
	// default URL format
	if (preg_match('/author=([0-9]*)/i', $_SERVER['QUERY_STRING'])) die();
	add_filter('redirect_canonical', 'shapeSpace_check_enum', 10, 2);
}
Code:
function shapeSpace_check_enum($redirect, $request) {
    // permalink URL format
	if (preg_match('/\?author=([0-9]*)(\/*)/i', $request)) die();
}



yѕL is offline  
Old 06/29/2017, 23:28   #2
 
elite*gold: 400
Join Date: Nov 2008
Posts: 67,608
Received Thanks: 19,325

^interessanter


Der-Eddy is offline  
Old 06/30/2017, 09:28   #3
 
elite*gold: 5
Join Date: Sep 2010
Posts: 105
Received Thanks: 30
Quote:
Originally Posted by Der-Eddy View Post

^interessanter
Docker ist ja schon mieser Absturz
yѕL is offline  
Old 06/30/2017, 09:32   #4
seit 10 Jahren hier



 
elite*gold: 185
The Black Market: 141/0/0
Join Date: Sep 2008
Posts: 8,692
Received Thanks: 2,883
Quote:
Originally Posted by νibe View Post
Docker ist ja schon mieser Absturz
Bitte was?

Docker ist ja wohl mal bestens! Schnelle, einfache und gute Virtualisierung.. Was spricht denn gegen nen Docker Image?


Menan is offline  
Old 06/30/2017, 09:37   #5
 
elite*gold: 5
Join Date: Sep 2010
Posts: 105
Received Thanks: 30
Quote:
Originally Posted by Menan View Post
Bitte was?

Docker ist ja wohl mal bestens! Schnelle, einfache und gute Virtualisierung.. Was spricht denn gegen nen Docker Image?
Mittlerweile ja, natürlich. Spreche da eher aus eigener Erfahrung in der Vergangenheit. Nichts für mich, sorry.
yѕL is offline  
Old 07/01/2017, 00:23   #6
 
elite*gold: 400
Join Date: Nov 2008
Posts: 67,608
Received Thanks: 19,325
Quote:
Originally Posted by νibe View Post
Mittlerweile ja, natürlich. Spreche da eher aus eigener Erfahrung in der Vergangenheit. Nichts für mich, sorry.
Dir ist aber aufgefallen das weiter unten auf der Seite erklärt wird wie man das Script auch ohne Docker laufen lässt?

WPScan klopft imo eine Wordpress Installation nach allen bekannten Lücken ab und gibt noch weitere Tipps bezüglich Sicherheit
da sollte es nicht an Docker scheitern
Der-Eddy is offline  
Thanks
1 User
Old 07/01/2017, 18:37   #7

 
elite*gold: 7
Join Date: Dec 2013
Posts: 438
Received Thanks: 181
Quote:
spontan merke ich mal zwei "Sicherheitslücken" bei Wordpress an und fixe Diese für euch
Die Frage ist ob man das wirklich Sicherheitlücke oder Bug nennen kann.

Alles was man dadurch "erbeutet" is der Username.
Die meisten Leute die keine Ahnung von Sicherheit haben installieren sich eh Zeug wie iThemes Security oder Wordfence, was die auf den "Angriff" folgenden Loginversuche recht gut abwehren kann.

Leute die sich Gedanken über Sicherheit machen, werden die JSON API und/oder XML-RPC eh aus haben
0xFADED is offline  
Thanks
2 Users
Old 07/03/2017, 08:53   #8
 
elite*gold: 5
Join Date: Sep 2010
Posts: 105
Received Thanks: 30
Quote:
Originally Posted by 0xFADED View Post
Die Frage ist ob man das wirklich Sicherheitlücke oder Bug nennen kann.

Die meisten Leute die keine Ahnung von Sicherheit haben installieren sich eh Zeug wie iThemes Security oder Wordfence, was die auf den "Angriff" folgenden Loginversuche recht gut abwehren kann.
Vielen Dank für deinen Beitrag.

Ist mir eigentlich ziemlich egal, was Leute, die keine Ahnung haben, für ihre Sicherheit benutzen.

Hierbei geht es nur darum, die aufgezeigten Wege per functions zu verhindern - ohne sich gleich 1337 Plugins laden zu müssen.

Außerdem decken diese Plugins, wie bereits von dir erläutert, nicht den Bug bzw. die Sicherheitslücke, sondern den Folgeangriff ab.

Quote:
Originally Posted by 0xFADED View Post
Alles was man dadurch "erbeutet" is der Username.
schade, also gibts doch kein X6 für mich


yѕL is offline  
Reply

Tags
prevent, security, snippet, wordpress


Similar Threads
sicherheit des passworts?
11/08/2006 - WoW Ask the Experts - 2 Replies
hi leute das Passwort wird je verschlüsselt übertragen, wie siehts denn da mit der verschlüsselung aus, wenn jemand die netzwerkdaten abfängt, kann er das passwort herausbekommen? greetz Biba
newbie hat fragen zur sicherheit
08/30/2006 - Diablo 2 - 15 Replies
Hi!! Ich hab mal wieder D2 installiert um bissl fun am Hacken/Cheaten zu bekommen :D so, da ich aber in dieser Szene nie aktiv war/bin hab ich keine ahnung. Also wüsste ich gerne auf was ich zu achten habe... beispiel: was sind PlugIns (in D2)?? Darf man nur mit/in "nicht-Ladder"-Chars/Spielen cheaten?? Sind die Pinned-sachen sicher? vermutlich ja oder? :nice: wie dem auch sei, ich danke für die Antworten/Tipps :)
Frage bezügl. UltraDAoC Sicherheit
06/29/2006 - General Gaming Discussion - 8 Replies
Hi Ich wollt mal fragen, ob es hier Leute gibt die das tool UltraDAoC benutzen oder benutzt haben. Ich hab probeweise wieder mit DAoC angefangen und wollt mir da nen char hochlvln. Aber auf das dauer-gegrinde hab ich keine Lust. Jetzt wollt ich wissen, ob das Programm safe ist? sofern man es natürlich nicht übertreibt etc. Hat Mythic eine Art Anti-Cheat wie warden ? Erfahrungen, Bericht etc. sind hier gern gesehen mfg blue
Sicherheit prüfen
06/08/2006 - Technical Support - 0 Replies
Hallo, ich habe auf meinem Webblog einen Passwortgeschützten Bereich installiert. Jetzt möchte ich die Sicherheit prüfen und benötige ein Programm, dass per Wordlist nur ein Passwort ausprobiert KEINEN username. Ich habe nämlich keinen Loginbereich mit username und pass sondern einfach nur ein Passwortfeld. Hier der Quelltext, hab mal geprüft und keine Passwortsource gefunden. Sicher? <html> <head> <title>cursusnovus - Weblog @ myblog.de</title> <meta http-equiv="Content-Type"...



All times are GMT +1. The time now is 07:58.


Powered by vBulletin®
Copyright ©2000 - 2018, Jelsoft Enterprises Ltd.
SEO by vBSEO ©2011, Crawlability, Inc.

Support | Contact Us | FAQ | Advertising | Privacy Policy | Abuse
Copyright ©2018 elitepvpers All Rights Reserved.