Per questo test ci serviremo del Tool WPCracker che è capace di enumerare e fornire gli accessi ad un sito WordPress utilizzando attacchi di Forza Bruta. L’applicativo è disponibile sia per OS Windows che per Linux.

Tra le peculiarità del tool, possiamo specificare il numero di thread e la quantità di batch di password da testare per ciascun thread.

E’ importante settare questi parametri con parsimonia al fine di evitare rallentamenti del server Target quindi rallentare l’intero processo di penetration testing.

Scaricare WPCracker

Possiamo reperire WPCracker tramite GitHub all’indirizzo https://github.com/JoniRinta-Kahila/WPCracker

Usare WpCracker

Per lanciare l’applicativo possiamo richiamare le sue funzioni con il comando:

.\WPCracker.exe --enum -u <Url sito WordPress> -o <Percorso File di OutPut (OPZIONALE)>

Per avviare l’attacco invece useremo:

.WPCracker.exe --brute -u <Url sito WordPress> -p <Percorso del File Dizionario> -n <Username> -o <Percorso File di OutPut (OPZIONALE)>

oppure possiamo chiedere l’invocazione di un percorso step by step dove l’applicativo ci chiederà volta per volta i parametri da inserire.

.WPCracker.exe --brute

Come abbiamo detto all’inizio, occorre prestare molta attenzione al numero di chiamate effettuate verso il sistema, pena creargli un DoS e in un ambiente di produzione, questo un qualsiasi penetration tester non può permetterselo, quindi è possibile indirizzare il numero di threads specificando questo comando.

.WPCracker.exe --brute -u <Url sito WordPress> -p <Percorso del File Dizionario> -n <Username> -t <Massimo Numero di threads> -c <Dimensione Massima di Batch>

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Scoprire Password di WordPress con attacco a Forza Bruta sembra essere il primo su .

blocked briefly unavailable for scheduled maintenance check back in a minute

Solitamente, questo succede durante l’update dei plugin. In questa operazione, infatti, WordPress mette il sito in maintenance mode per evitare che vengano fatte operazioni dagli utenti mentre vengono aggiornate le funzionalità.

Quando, nonostante gli aggiornamenti di pagina, questo messaggio continua a comparire, vuol dire che wordpress si è bloccato in modalità manutenzione.

Risolvere questo problema è molto semplice.

Basta infatti accedere alla root del tuo sito wordpress tramite FTP o attraverso la gestione file del tuo Hosting. All’interno della cartella, dovresti vedere un file denominato .maintenance . Basta eliminare questo file e il sito riprenderà a girare regolarmente.

Nel caso in cui tu non veda il file, è probabile che le impostazioni di visualizzazione ti nascondino i file nascosti. Ti basterà quindi abilitare questa visualizzazione per mostrare il file e quindi eliminarlo.

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo WordPress blocked briefly unavailable for scheduled maintenance check back in a minute sembra essere il primo su .

Capire quindi come viene hackerato un sito wordpress, ci aiuterà quindi a capire come difenderci adottando le giuste contromisure cercando quindi di limitare le intromissioni al sistema.

Vediamo quindi come attaccare un sito WordPress.

N1: Capiamo se il sito è realizzato con WordPress.

Come primo passaggio, dobbiamo capire se il sito Target utilizza wordpress o meno e per farlo possiamo provare a inserire la url wp-admin subito dopo il nome a dominio per verificare che ci venga restituita la pagina di login di amministrazione.

Un altro metodo più “professionale” è quello di utilizzare WpScan, applicativo pre installato su Kaly Linux.

Diamo quindi il comando

wpscan --url www.sitotarget.xxx

N2 Scoprire il nome utente di Admin con Burpsuite

Questa è una delle parti difficili ovvero scoprire il nome utente di amministrazione di WordPress. Per trovarlo utilizziamo la suite burpsuite dando come comando:

sudo burpsuite

Creiamo quindi un nuovo progetto temporaneo utilizzando i valori predefiniti Burp. Passiamo quindi alla scheda Target -> Scope e facciamo clic su Aggiungi per includere il sito target.

Successivamente, andiamo al menu Preferenze di Firefox e scorriamo fino in fondo trovando Proxy di rete. Fare clic su Impostazioni.

Selezionare quindi la Configurazione proxy manuale e inserire l’IP 127.0.0.1 e la porta 8080. Spuntare “Usa questo server proxy per tutti i protocolli”. Fare clic su OK.

Torniamo quindi su Burpsuite ed  apriamo la scheda Proxy. Ora torna alla pagina WP-Login. Immettere un nome utente e una password casuali e fare clic su Accedi. 

Dopo aver fatto clic su login, torna a Burpsuite e guarda l’output.

La parte che ci interessa sarà quella costituita da:

log=tizio&pwd=caio&wp-submit=Log+In&redirect_to=http%3A%2F%2Fsitotarget.xxx%2Fwp-admin%2F&testcookie=1

Ora abbiamo qualcosa che possiamo da dare in pasto a Hydra.

N 3 : trovare un dizionario di nomi utenti per WordPress

Ora dovremo crearci un file dizionario contenente possibili credenziali. Si può utilizzarne uno già preesistente (come questo: https://crackstation.net/crackstation-wordlist-password-cracking-dictionary.htm) o generarlo in base ad uno studio sul target.

N 4 – Bruteforcing  Usernames con Hydra

Giunti a questo punto possiamo utilizzare Hydra per effettuare un attacco bruteforcing alle credenziali WordPress.

Apriamo quindi un finestra di terminale e diamo un:

hydra -V -L dizionario.txt -p whatever 192.168.1.1 http-post-form '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log:F=Invalid username'

Analizziamo il comando appena dato:

• -V – Verbose mode
• -L – Il nostro elenco nomi dizionario.txt
• -p whatever – La password, non ci interessa, perché vogliamo scoprire il nome utente
  • http -post-form – Il tipo di attacco di forza bruta che vogliamo eseguire
  • /wp-login.php – Il percorso della pagina di accesso a WordPress
  • log = ^ USER ^ & pwd = ^ PASS ^ & wp-submit = Log + In – I valori che verranno inviati al modulo, dove ^ USER ^ e ^ PASS ^ sono le variabili che verranno prese dal nostro dizionario

Lanciato il comando, Hydra comincerà il suo attacco di forza bruta su WordPress testando tutte le parole presenti nel file dizionario. Se questa è contenuta all’interno del file allora avremo trovato la nostra username.

N 5 : Attacco a forza bruta della password di WordPress

Una volta individuata la username, effettuiamo ora l’attacco a forza bruta sulla password utilizzando sempre Hydra:

wpscan --url http://sitotarget.xxxx/wp-login.php --passwords /usr/share/wordlists/password.txt.gz --usernames admin --wp-content-dir http://sitotarget.xxxx/wp-login.php

Al termine di questa operazione dovremmo aver trovato anche la password di WordPress e quindi ci sarà consentito l’accesso all’interno sistema.

Disclaimer

La guida appena mostrata è da ritenersi a puro scopo didattico effettuato su siti web di cui si dispone della proprietà.

Se non conosci WpScan, puoi trovare un articolo qui: https://simonetocco.it/penetration-testing-scann-wordpress-vulnerability/

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Attaccare un sito WordPress: Hackerare e Bucare WordPress con wpscan sembra essere il primo su .

La Cache funziona in modo relativamente semplice. Spesso i siti web sono realizzati in linguaggi di programmazione come PHP o altri. Ad ogni richiesta di visualizzazione di una pagina web un programma parte in esecuzione effettuando operazioni di calcolo talvolta anche complesse. Queste operazioni vengono ripetute allo stesso modo per ogni volta che viene richiesta una pagina di un sito web.

La cache sfrutta la ricorrenza di queste operazioni generando un file statico (che quindi non compie elaborazioni) che viene fruito all’utente finale.

WP Fastest Cache per WordPress

WordPress è certamente uno dei CMS più utilizzati per la creazione di siti web ma soffre anche di una certa lentezza di esecuzione dovuta a diversi fattori come plugin, temi non ottimizzati, server poco performanti ecc.

Per velocizzare l’esecuzione di siti in wordpress, spesso si ricorre a plugin di gestione cache.

Vorrei oggi parlarvi del plugin di cache WordPress da me preferito: WP Fastest Cache.

Di questo genere di plugin ne ho provati a decine ma, questo mi ha stupito per la sua semplicità ed efficacia.

Funzionalità Fastest Cache per WordPress

FUNZIONALITÀ

1. Mod_Rewrite
2. Tutti i file della cache vengono eliminati quando viene pubblicato un articolo o una pagina
3. L’amministratore può eliminare tutti i file memorizzati nella cache dalla pagina delle opzioni
4. L’amministratore può eliminare i file css e js minificati dalla pagina delle opzioni
5. Blocca la cache per una pagina o un post specifico con il codice breve
6. Timeout cache
7. Timeout della cache per pagine specifiche
8. Abilita/Disabilita opzioni cache per i dispositivi mobili
9. Abilita / disabilita l’opzione cache per gli utenti loggati
10. Supporto SSL
11. Supporto CDN
12. Supporto Cloudflare
13. Preload Cache – Crea automaticamente la cache di tutto il sito
14. Escludi pagine e user-agents
15. Svuotamento della cache di WP-CLI

TEST Plugin per Cache WordPress

Ho effettuato un semplice test su un sito messo male in termini di velocità provando solo ad installare il plugin Fastest Cache per WordPress ed ecco i risultati:

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Miglior Plugin per cache WordPress sembra essere il primo su .

Questa è la piattaforma di pagamento online che consente a chiunque fosse in possesso di un account Amazon, di effettuare pagamenti online sui vari store sparsi per la rete.

Il punto di forza di Amazon Pay si fonda su una tecnologia che sta via via entrando nelle nostre case ovvero Amazon Echo.

La nuova frontiera degli e-commerce sarà quindi la ricerca vocale con la possibilità di istruire a voce i vari dispositivi per concludere un acquisto e quindi un pagamento.

Come collegare Amazon Pay a Woocomerce

Una delle piattaforme di e-commerce più diffuse è certamente woocomerce che ha disposto da subito un bridge per collegare Amazon Pay alla sua piattaforma. Vediamo quindi in pochi step come procedere all’integrazione della modalità di pagamento.

Come prima cosa, muniamoci del plugin di connessione all’indirizzo: https://woocommerce.com/products/pay-with-amazon/

clicchiamo su Free Download e procediamo quindi a scaricare il plugin per installarlo sulla piattaforma WordPress.

Passiamo quindi a settare le impostazioni recandoci su Setting del Plugin.

Clicchiamo quindi sul pulsante “Configure/register now” e verremo indirizzati sulla pagina amazon dove potremo accedere con le nostre credenziali o attivare un nuovo account.

Seguendo la procedura, ci verrà richiesto di specificare l’indirizzo del sito che ospiterà Amazon Pay e l’url della nostra pagina riferita alla privacy policy.

Al termine della procedura, non dovremo far altro che cliccare su Trasferisci Chiavi di Accesso per riempire i campi relativi al nostro plugin su Woocomerce.

Clicchiamo quindi su Salva nelle impostazioni ed il sistema sarà già automaticamente pronto a ricevere tutti i pagamenti della piattaforma Amazon Pay.

Video Guida

Una video guida passo passo è disponibile qui:

https://youtu.be/yIdJk2LLqJk

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Collegare Amazon Pay a Woocomerce sembra essere il primo su .

Da qualche tempo, Wordress (anche con l’accoppiata Woocomerce), richiede un aggiornamento PHP obbligatorio al fine di mantenere aggiornato il CMS ed essere pronti a recepire ulteriori sue versioni.

Perchè Aggiornamento Obbligatorio?

Il messaggio di Aggiornamento Obbligatorio viene mostrato a tutti gli utenti che dispongono di una versione PHP più datata e quindi non più supportata di aggiornamenti. Questa mancanza causa una grossa falla in termini di sicurezza (in quanto le falle di sicurezza delle precedenti versioni non vengono più sistemate) ed in termini di funzionalità (in quanto nelle versioni più recenti di PHP vengono introdotte alcune nuove funzionalità e spesso a sostituzione di altre che diventano obsolete quindi non più funzionali)

Aggiornamento PHP WordPress su Aruba

Molti dei possessori di siti web basati su WordPress, utilizzano Aruba come Hosting per ospitare il poprio portale ed è proprio a questo che dobbiamo rivolgerci per aggiornare PHP per WordPress su Aruba.

Fare questa operazione è estremamente semplice e come tutti i cambiamenti alla struttura di WordPress, è fortemente consigliato farlo dopo aver effettuato un backup completo del sito.

• Per prima cosa è necessario accedere al proprio pannello utente di aruba posto al link https://admin.aruba.it
• In questa schermata, bisognerà inserire le proprie credenziali Aruba e quindi accedere al proprio pannello di gestione del sito.
• Successivamente andare sotto la voce Hosting Linux -> Strumenti e Impostazioni come riportato in foto:

Bisogna quindi selezionare la funzione Scelta della Versione PHP come in foto

Arrivati a questa schermata, è necessario selezionare una versione PHP più recente facendo clic sul campo preferito. Personalmente suggerisco di provare sempre la versione più alta (ad esempio in foto la 7.4) applicare le modifiche e accertarsi in seguito che il sito funzioni in tutti i suoi strumenti. Diversamente è possibile scegliere versioni più basse evitando di selezionare quelle con dicitura (non più supportato)

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Aggiornamento PHP obbligatorio wordpress aruba sembra essere il primo su .

Nativamente, WordPress non consente la modifica massiva delle voci di menù, ma occorre andare a rimuovere ogni singola voce singolarmente.

Quanto però si ha a che fare con menù composta di centinaia di voci, come spesso accade utilizzando WooCommerce, si può ricorrere a due plugin che semplificano il lavoro consentendo di editare più voci di menù allo stesso tempo.

Quick remove menu item

Questo plugin ti aiuta a eliminare molto facilmente una voce di menu e tutte le sue voci secondarie. Non è necessario fare clic su un elemento, quindi fare clic sul collegamento “Rimuovi”. Basta fare clic sul pulsante “x” (per eliminare un elemento) o fare clic su “xx” (per eliminare un elemento e tutti i suoi elementi secondari)

Il Plugin è disponibile qui: https://wordpress.org/plugins/quick-remove-menu-item/

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Rimuovere più voci dal menù wordpress sembra essere il primo su .

La generazione consiste nel realizzare la fattura in formato XML che può essere interpretato dagli elaboratori estraendone i dati in essa contenuti.

Anche la modalità di invio cambia in quanto il file generato dovrà essere inviato telematicamente utilizzando l’indirizzo PEC del Cliente o il codice univoco SDI quale codice di riferimento.

La fattura, prima di raggiungere il destinatario, passerà attraverso il sistema di interscambio fornito dall’agenzia delle entrate che estrarrà i dati contenuti memorizzandoli ai fini fiscali.

Woocommerce e dati di fatturazione

Per i possessori di siti e-commerce basati su piattaforma woocommerce è quindi indispensabile l’adeguamento della piattaforma per ottemperare alle nuove disposizioni in merito a fatturazione elettronica.

Come primo passo è indispensabile reperire i dati di fatturazione del cliente inserendo i campi di “Indirizzo PEC” e “Codice Univoco SDI” all’interno della procedura di acquisto da parte del cliente.

Per risolvere rapidamente questo aspetto, consiglio l’installazione del Plugin “Checkout Field Editor (Checkout Manager) for WooCommerce”.

Una volta installato, possiamo recarci nel menù del nostro sito alla voce WooCommerce -> Checkout Form

Qui sarà possibile aggiungere campi al checkout di woocommerce richiesti. Per maggiore professionalità ed esperienza di utilizzo da parte degli utenti, consiglio l’acquisto della versione premium che consente l’inserimento di campi condizionali che ci consentiranno di far apparire i campi “Pec” e “Codice SDI” solo se il cliente spunta il radio button “Azienda” mentre nel caso di “Utente Privato” possiamo far comparire il campo relativo al “Codice Fiscale”

Plugin WooCommerce Fatture in Cloud

Un’altra utile operazione che può intraprendere il possessore di un e-commerce basato su WooCommerce nonchè di gestionale Fatture in Cloud di TeamSystem S.p.A  è quello di collegare le due piattaforme lavorando assieme.

Sarà quindi possibile inviare le fatture elettroniche al cliente direttamente da WooCommerce ritrovandone uno storico sul gestionale di Fatture in Cloud.

A tal fine è necessario installare il plugin WooCommerce FattureInCloud .

Di seguito un video esplicativo sul suo funzionamento:

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Woocommerce e fatturazione elettronica sembra essere il primo su .

Il plugin WordPress consente agli utenti del CMS di accedere alle informazioni rilasciate dagli strumenti di Search Console, Adsense, PageSpeed Insight e Analytics tutte in un unico pannello di amministrazione posizionato nella bacheca di WordPress. 

Site Kit Google Download

Il Download id Google Site Kit sarà disponibile a inizio 2019 solo per chi vorrà testare il prodotto nella sua release beta. A tal fine è sufficiente  registrarsi qui per effettuare il download della versione pre-definitiva o rimanere aggiornati per il suo lancio 

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Site Kit Google: il plugin WordPress Definitivo sembra essere il primo su .

Le ripercussioni di questa lentezza sono molte. Anzitutto si ha una notevole difficoltà nel gestire la piattaforma che può far spazientire e talvolta impedire l’operato saturando le risorse (soprattutto la CPU del server) facendoci uscire un bel errore 500 di Apache sul nostro Browser.

Altra grave ripercussione è che quando la lentezza riguarda anche il front end i motori di ricerca avranno un giudizio negativo sul nostro sito abbassando il posizionamento nei risultati di ricerca.

Sul web ci sono moltissime soluzioni o guide per velocizzare wordpress ma oggi voglio trattare una problematica meno trattata ma che spesso si rivela essere la principale: la versione di PHP su cui il nostro WordPress gira.

Il problema della Versione PHP per WordPress.

Molto spesso quando si ha un hosting condiviso la versione del linguaggio PHP installata sul server può risultare vecchia o addirittura obsoleta. Questo succede perchè i provider di servizi tendono ad utilizzare le versioni di PHP che sono “stabili” finchè qualcuno non si lamenta. Mi capita molte volte infatti, di vedere hosting o server dedicati che utilizzano la versione 5.2 di PHP. Vedendo però la documentazione di WordPress sul loro sito ufficiale ci si rende conto che tra i prerequisiti richiesti vengono menzionate versioni di PHP decisamente superiori. Nel momento in cui scrivo, la release di PHP suggerita è infatti la 7.2. Sempre nella stessa documentazione, viene sconsigliato l’utilizzo di versioni precedenti in quanto, ovviamente, espongono il sito web a falle di sicurezza anche se non menziona le ripercussioni in termini di velocità. Questo perchè il parametro non riguarda direttamente i core di WordPress ma i plugin o i temi che andremo ad installare e che sono scritto utilizzando nuove sintassi o strumenti forniti dalle più recenti versioni di PHP.

Verificare versione PHP WordPress

Per scongiurare questo problema, la prima cosa da fare è vedere la versione di PHP su cui il nostro wordpress sta girando. Per verificare la versione di PHP installata, si può procedere in 3 modi:

Metodo Facile: su wordpress è possibile installare il plugin “Display PHP Version” il quale andrà semplicemente ad aggiungere una stringa sul footer del nostro backend WordPress informandoci della versione attualmente utilizzata dal nostro Server.

Metodo Medio: E’ possibile accedere al pannello di amministrazione del nostro provider visualizzando la versione PHP installata. Nelle due immagini sottostanti sono visualizzate queste informazioni su un cPanel e su un pannello di amministrazione di Aruba.

Metodo Difficile (si fa per scherzare : è possibile creare un file denominato versionePHP.php, scriverci dentro la seguente porzione di codice:

<?php phpinfo() ;

e caricarla nella cartella FTP principale del sito eseguendo poi lo script andando sull’indirizzo www.tuosito.xyz/versionePHP.php

Scelta della Versione PHP per WordPress

Per scegliere la versione PHP più idonea del nostro WordPress dobbiamo accedere al backend di amministrazione e nella bacheca principale, a fondo pagina, troviamo la versione di WordPress utilizzata con una stringa tipo:

Versione 4.9.8

Ovviamente il sconsiglio spassionato è quello di mantenere wordpress e i plugin installati alla versione più recente in modo da ridurre le criticità di sicurezza. Nel caso in cui quindi stiamo utilizzando una versione vecchia di wordpress, procediamo al suo aggiornamento (dopo aver fatto un bel backup di file e database).

Ci rechiamo quindi nella documentazione ufficiale di WordPress estrapolando la versione di PHP consigliata relativa alla nostra versione del CMS:

Cambiare o Aggiornare versione PHP WordPress.

Il prossimo step è quindi quello di aggiornare la versione PHP di WordPress. Le immagini successive mostrano come  questa operazione può essere effettuata su cPanel o su pannello di Amministrazione Aruba:

Versione cPanel

Versione Aruba

Miglior Plugin Per Velocizzare WordPress

potresti anche essere interessato a velocizzare il tuo Worpdress basandoti su altri accorgimenti indipendenti dalla versione PHP. In tal caso di consiglio la lettura di questo articolo

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Backend WordPress Lento: il problema di PHP sembra essere il primo su .