专栏首页畅所欲言WordPress的管理员用户名是如何泄露的,以及如何防护~
原创

WordPress的管理员用户名是如何泄露的,以及如何防护~

WordPress 的管理员账户很容易就能获取,虽然说拿到了管理员账号,用处不是很大,但是不排除有些小白的密码是简单的数字密码。被攻击者爆破或者撞库成功,从而获得后台的管理员账户。

那么。攻击者是怎样拿到你的Wordpress 【管理员用户名】的,以及如何保护自己的管理员账户不被获取,这篇文章就来谈谈!!!

获取

1、先说说管理员账户如何泄露

攻击者或者攻击程序构造了:https://你的域名/wp-json/wp/v2/users/  的URL进行GET,这样99%会返回一串信息,里面包含了你的管理员账户。如下:

[{"id":1,"name":"\u964c\u6d9b","url":"https:\/\/www.imotao.com","description":"\u8fd9\u4e2a\u535a\u4e3b\u5f88\u61d2\uff0c\u61d2\u6b7b\u4e86\u3002","link":"https:\/\/www.imotao.com\/author\/imotao","slug":"imotao","avatar_urls":{"24":"https:\/\/secure.gravatar.com\/avatar\/da2867019057f50c669f3db99c7edf91?s=24","48":"https:\/\/secure.gravatar.com\/avatar\/da2867019057f50c669f3db99c7edf91?s=48","96":"https:\/\/secure.gravatar.com\/avatar\/da2867019057f50c669f3db99c7edf91?s=96"},"meta":[],"_links":{"self":[{"href":"https:\/\/www.imotao.com\/wp-json\/wp\/v2\/users\/1"}],"collection":[{"href":"https:\/\/www.imotao.com\/wp-json\/wp\/v2\/users"}]}}]

以上信息可以发现:imotao就是管理员账号,真实已被隐藏,这里只为了演示。

2、确认是否使用了wordpress程序

其实上面的代码差不多已经确认你用的是wp程序了,这里还是提及一下:

攻击者或者攻击程序通过构造 https://你的域名//wp-includes/wlwmanifest.xml  的URL进行GET,来判断你是否使用了Wordpress程序。以及你的后台登录地址!输入后你会得到这样的反馈。所以修改后台登录地址很重要。

<manifest xmlns="http://schemas.microsoft.com/wlw/manifest/weblog">
<options>
<clientType>WordPress</clientType>
<supportsKeywords>Yes</supportsKeywords>
<supportsGetTags>Yes</supportsGetTags>
</options>
<weblog>
<serviceName>WordPress</serviceName>
<imageUrl>images/wlw/wp-icon.png</imageUrl>
<watermarkImageUrl>images/wlw/wp-watermark.png</watermarkImageUrl>
<homepageLinkText>View site</homepageLinkText>
<adminLinkText>Dashboard</adminLinkText>
<adminUrl>
<![CDATA[ {blog-postapi-url}/../wp-admin/ ]]>
</adminUrl>
<postEditingUrl>
<![CDATA[ {blog-postapi-url}/../wp-admin/post.php?action=edit&post={post-id} ]]>
</postEditingUrl>
</weblog>
<buttons>
<button>
<id>0</id>
<text>Manage Comments</text>
<imageUrl>images/wlw/wp-comments.png</imageUrl>
<clickUrl>
<![CDATA[ {blog-postapi-url}/../wp-admin/edit-comments.php ]]>
</clickUrl>
</button>
</buttons>
</manifest>

3、确认你的用户id

攻击者还会通过构造 < https://你的域名?author=1 //?author=2 //?author=3>  来确认你的管理员id,以此来和上面的匹配。

保护

既然知道了,那么如何防护呢,继续往下看吧。

4、设置访问权限

1)禁止访问/wp-json/wp/v2/users/,如果是宝塔的话,可以在网站配置或者伪静态中设置如下代码。

  location ~ ^/wp-json/wp/v2/users {
      deny all;
    }

2)禁止访问 /wp-includes/wlwmanifest.xml   和上面一样。代码如下:

      location ~ ^/wp-includes/wlwmanifest.xml {
      deny all;
    }

3)如何放置截图

4)效果

这时候访问上述网页,就会被屏蔽结果。如图:

5、如果你是宝塔而且安装了专业版防火墙,还可以这样设置

在禁止访问的url中添加以下规则:

/wp-json/wp/v2/users
/wp-includes/wlwmanifest.xml

6、最后

这其实不是个漏洞,所以不用紧张,其实稍微注意点安全的小伙伴早就修改了一个非常强壮的密码,隐藏了登录后台,禁用了xmlrpc.php。

1)如果要禁用xmlrpc.php,可以利用nginx,代码如下,放置还是和上面一样,放在伪静态设置中。

location ^~ /xmlrpc.php { return 403; }

是否禁用根据自己需要吧,如果出现升级错误,那么可以删除掉或者禁用掉代码即可。

2)其实有一些主题的管理员账号是显示在文章里面的,感觉这样真的是……,我们可以在wp后台设置一个昵称,这样文章会显示昵称在文章中。

3)各位小伙伴可以通过以上URL测试一下自己的Wordpress站点。看看是不是可以拿到敏感信息。如果特别敏感,就赶紧设置权限。

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

我来说两句

0 条评论
登录 后参与评论

相关文章

  • 全球500强企业弃用的Web应用存在安全隐患

    近日,一项针对全球领先企业所拥有的废弃网站进行的研究表明,老旧的Web应用程序需要进行正确地“退役”处理。否则,这些已被弃用很久的资源仍然会经常影响着企业安全,...

    FB客服
  • 针对WordPress的攻击调查

    WordPress是一个著名的开源内容管理系统(CMS),用于创建网站和个人博客,据估计,目前35%的网站都在使用CMS。

    FB客服
  • FreeBuf 2018年企业安全月报(二月刊)

    “It takes 20 years to build a reputation and few minutes of cyber-incident to ru...

    FB客服
  • 【连载】2016年中国网络空间安全年报(九)

    2016年中国网络空间安全年报 6. 数据泄露专题分析 2016年数据泄露愈演愈烈,全球相继曝光了大量的数据泄露事件,数据泄露事件频率呈现爆发式增长,而曝光...

    安恒信息
  • 数据泄露事件频发,企业如何做好数据保护?

    2020年4月1日,万豪国际首次披露今年2月底检测到的数据泄露事件,近520万房客个人信息被泄露,数据涉及个人姓名、地址、电话号码以及会员账户信息、伙伴关系与...

    腾讯云安全
  • [网络安全] 二.Web渗透信息收集之域名、端口、服务、指纹、旁站、CDN和敏感信息

    最近开始学习网络安全和系统安全,接触到了很多新术语、新方法和新工具,作为一名初学者,感觉安全领域涉及的知识好广、好杂,但同时也非常有意思。所以我希望通过这100...

    Gcow安全团队
  • 开源时代,如何在追求开发效率的同时保障敏感凭据安全?

    在拥有170万名开发者忠实用户的Github开源平台上,已经有超过100,000个代码库泄露了API或加密密钥;与此同时,每一天还有数千个新代码库正在泄露密钥....

    云数据安全
  • 2016年个人信息平均被泄露5次以上,有你吗?

    3月4日,十二届全国人大五次会议大会发言人傅莹在发布会上介绍,今年将开展网络安全执法检查,关注重点之一就是加强个人信息保护。 ? 她提到,“今年准备对网络安全开...

    BestSDK
  • 企业如何网站平台的安全防护

    前两天,A站收到黑客攻击,近千万条用户数据外泄,其中包含用户ID、用户昵称、加密存储的密码等信息。事件发生后,A站第一时间做出回应并证实了数据泄露事件,同时也透...

    C4rpeDime
  • Web渗透之网站信息、域名信息、端口信息、敏感信息及指纹信息收集

    自幼受贵州大山的熏陶,养成了诚实质朴的性格。经过寒窗苦读,考入BIT,为完成自己的教师梦,放弃IT、航天等工作,成为贵财一名大学教师,并想把自己所学所感真心传授...

    天钧
  • WordPress程序网站目录安全权限设置

    目录/文件 建议权限 root directory(wp 根目录) 0755 wp-admin (网站账户后台) 0755...

    可定
  • 网站安全的「灯下黑」隐患:账号安全

    “小博客站点没有攻击价值”这个观点,是个很害人的观点,特别是对很多小白站长们来说,因为现在的互联网环境下攻击你的服务器已经不需要“价值”了,攻击你想要的是你的...

    明月云服务
  • 大案!大案!大案! 网传A站、摩拜数据库泄露

    13号凌晨,黑客聚集的暗网突现一条售卖信息,一名黑客号称出售两个权重超高的shell+内网权限,A站acfun.cn与摩拜单车,信息中称两个网站日流量均超百万,...

    安恒信息
  • 一文透析腾讯云如何为企业构建「数据全生命周期保护」

    伴随数据成为企业的核心资产,数据安全已经成为所有企业在产业互联网时代必须直面的挑战。

    腾讯安全
  • 产业安全专家谈丨如何建立“开箱即用”的数据安全防护系统?

    2019年,多起重大数据泄露事件几乎席卷全球用户。从上半年的苹果iOS 12.1重大漏洞曝光导致FaceTime通话可被窃听,到以“注重隐私”为卖点的美国邮件服...

    腾讯安全
  • 疫情期间网络攻击花样翻新,全年 81748 起安全事件背后暗藏规律

    2020年是新冠疫情构成主旋律的一年,全球经济形势、科技发展乃至人们的日常工作生活都受到疫情影响。在疫情催化各行业数字化转型更加依赖网络世界的同时,互联网安全也...

    AI科技大本营
  • Elasticsearch 再发数据泄露事件,包含 27 亿邮箱数据和10 亿明文密码,波及多家中国大厂用户数据!

    就在不到一个月之前,安全人员 Bob Diachenko 和 Vinny Troia 发现了一个公开可访问的 Elasticsearch 服务器,其中包含 1...

    iMike
  • A站近千万用户数据外泄,企业应该怎么做?

    6月12日晚间,弹幕社区网站Acfun(以下简称“A站”)发布公告称遭遇黑客攻击,近千万条用户数据外泄,其中包括用户 ID、昵称、“加密存储”的密码等信息。

    互联资讯
  • 疫情当下,更要守好个人信息安全防线

    当前方的战士正在阻击疫情,后方的公众个人信息安全防线却在动摇。公众知情权和个人隐私权的权衡,成为当下疫情发展的关键问题。

    FB客服

扫码关注云+社区

领取腾讯云代金券