Capire quindi come viene hackerato un sito wordpress, ci aiuterà quindi a capire come difenderci adottando le giuste contromisure cercando quindi di limitare le intromissioni al sistema.

Vediamo quindi come attaccare un sito WordPress.

N1: Capiamo se il sito è realizzato con WordPress.

Come primo passaggio, dobbiamo capire se il sito Target utilizza wordpress o meno e per farlo possiamo provare a inserire la url wp-admin subito dopo il nome a dominio per verificare che ci venga restituita la pagina di login di amministrazione.

Un altro metodo più “professionale” è quello di utilizzare WpScan, applicativo pre installato su Kaly Linux.

Diamo quindi il comando

wpscan --url www.sitotarget.xxx

N2 Scoprire il nome utente di Admin con Burpsuite

Questa è una delle parti difficili ovvero scoprire il nome utente di amministrazione di WordPress. Per trovarlo utilizziamo la suite burpsuite dando come comando:

sudo burpsuite

Creiamo quindi un nuovo progetto temporaneo utilizzando i valori predefiniti Burp. Passiamo quindi alla scheda Target -> Scope e facciamo clic su Aggiungi per includere il sito target.

Successivamente, andiamo al menu Preferenze di Firefox e scorriamo fino in fondo trovando Proxy di rete. Fare clic su Impostazioni.

Selezionare quindi la Configurazione proxy manuale e inserire l’IP 127.0.0.1 e la porta 8080. Spuntare “Usa questo server proxy per tutti i protocolli”. Fare clic su OK.

Torniamo quindi su Burpsuite ed  apriamo la scheda Proxy. Ora torna alla pagina WP-Login. Immettere un nome utente e una password casuali e fare clic su Accedi. 

Dopo aver fatto clic su login, torna a Burpsuite e guarda l’output.

La parte che ci interessa sarà quella costituita da:

log=tizio&pwd=caio&wp-submit=Log+In&redirect_to=http%3A%2F%2Fsitotarget.xxx%2Fwp-admin%2F&testcookie=1

Ora abbiamo qualcosa che possiamo da dare in pasto a Hydra.

N 3 : trovare un dizionario di nomi utenti per WordPress

Ora dovremo crearci un file dizionario contenente possibili credenziali. Si può utilizzarne uno già preesistente (come questo: https://crackstation.net/crackstation-wordlist-password-cracking-dictionary.htm) o generarlo in base ad uno studio sul target.

N 4 – Bruteforcing  Usernames con Hydra

Giunti a questo punto possiamo utilizzare Hydra per effettuare un attacco bruteforcing alle credenziali WordPress.

Apriamo quindi un finestra di terminale e diamo un:

hydra -V -L dizionario.txt -p whatever 192.168.1.1 http-post-form '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log:F=Invalid username'

Analizziamo il comando appena dato:

• -V – Verbose mode
• -L – Il nostro elenco nomi dizionario.txt
• -p whatever – La password, non ci interessa, perché vogliamo scoprire il nome utente
  • http -post-form – Il tipo di attacco di forza bruta che vogliamo eseguire
  • /wp-login.php – Il percorso della pagina di accesso a WordPress
  • log = ^ USER ^ & pwd = ^ PASS ^ & wp-submit = Log + In – I valori che verranno inviati al modulo, dove ^ USER ^ e ^ PASS ^ sono le variabili che verranno prese dal nostro dizionario

Lanciato il comando, Hydra comincerà il suo attacco di forza bruta su WordPress testando tutte le parole presenti nel file dizionario. Se questa è contenuta all’interno del file allora avremo trovato la nostra username.

N 5 : Attacco a forza bruta della password di WordPress

Una volta individuata la username, effettuiamo ora l’attacco a forza bruta sulla password utilizzando sempre Hydra:

wpscan --url http://sitotarget.xxxx/wp-login.php --passwords /usr/share/wordlists/password.txt.gz --usernames admin --wp-content-dir http://sitotarget.xxxx/wp-login.php

Al termine di questa operazione dovremmo aver trovato anche la password di WordPress e quindi ci sarà consentito l’accesso all’interno sistema.

Disclaimer

La guida appena mostrata è da ritenersi a puro scopo didattico effettuato su siti web di cui si dispone della proprietà.

Se non conosci WpScan, puoi trovare un articolo qui: https://simonetocco.it/penetration-testing-scann-wordpress-vulnerability/

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Attaccare un sito WordPress: Hackerare e Bucare WordPress con wpscan sembra essere il primo su .

Installazione di Ghost Framework

Per installare Ghost, facciamo riferimento al repository GIT al seguente link: https://github.com/EntySec/ghost

Una volta scaricato, possiamo installare il framework con i seguenti comandi shell:

cd ghost

chmod +x install.sh

./install.sh

Avviare Ghost Framework

Dopo aver effettuato la sua installazione sarà sufficiente avviarlo utilizzando il comando:

ghost

Esempio di Accesso ad un dispositivo Android con visualizzazione come esempio della memoria interna. Disclaimer: il seguente esempio è eseguito su dispositivo di esempio. Ogni utilizzo su dispositivo senza autorizzazione è una grave violazione legale.

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Ghost Framework: accesso remoto ai dispositivi Android sembra essere il primo su .

Airgeddon: multi tool per hacking WiFi

Oggi LHN ha rilasciato Airgeddon, un tool esteso per hacking delle reti WiFi. Lo strumento è scaricabile gratuitamente da GitHub e supporta diverse piattaforme basate su Linux.

Attacchi Disponibili con AIRGEDDON

Lo strumento supporta attacchi di tipo:

• Attacco All-in-One sulle cifrature WEP (attacco combinato con tecniche: Chop-Chop, Caffe Latte, ARP Replay, Hirte, Fragmentation, Fake Association, ecc. )
• Attacchi Evil Twin (Rogue AP con)con Hostapd + DHCP + DoS + Ettercap + Sslstrip e anche con supporto BEEF
• Modalità di cracking di WPS: Pixie Dust, Bully e Reaver
• Decifratura della password offline per gli handshake acquisiti con algoritmo di protezione WPA/WPA2 (attacchi dizionario, bruteforce e rule based).

Tra le altre specifiche segnalo:

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Airgaddon un nuovo strumento per attacchi alle reti WiFi sembra essere il primo su .

E’ possibile eseguire uno scann delle vulnerabilità effettuando un penetration testing utilizzando l’applicativo WPScan.

WordPress Penetration testing con WPScan

Enumerare la versione di WordPress, il tema ed i plugin installati. 

Il comando per enumerare versione, tema e plugin è il seguente:

wpscan –url http://sitodatestare.com/ –enumerate p wpscan –url http://sitodatestare.com/ –enumerate t

Enumerare gli utenti di WordPress

Per enumerare gli utenti di WordPress è sufficiente lanciare il comando:

wpscan –url http://sitodatestare.com/ –enumerate u

Avvio di un attacco Brute-Force 

WpScan mette a disposizione inoltre uno strumento per effettuare un attacco di tipo brute-force fornendo un dizionario di password e una username (generalmente “admin”). Per lanciare l’attacco è possibile utilizzare il comando:

wpscan –url http://sitodatestare.com –wordlist /root/Desktop/password.txt –username admin

Disclaimer

Questo articolo è una guida per chi vuole effettuare tipi di attacco a scopo didattico o chi vuole testare il proprio sito web. La responsabilità di un utilizzo illecito non è da imputare allo scrivente.

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Penetration Testing Scann WordPress vulnerability sembra essere il primo su .

• Ottenere i contatti e tutte le loro informazioni
• Far vibrare il telefono
• Ottenere  i registri delle chiamate in entrata ed in uscita
• Aprire una URL nel browser web predefinito
• Ottenere  tutti i messaggi
• Inviare un SMS
• Ricevere la posizione GPS satellitare
• Monitoraggio dei messaggi ricevuti in tempo reale
• Monitoraggio dello stato del telefono in tempo reale (chiamata ricevuta, chiamata inviata, chiamata mancata ..)
• Attivare il microfono ed ascoltare il live in tempo reale
• Scattare una foto dalla fotocamera

Software da scaricare per avviare l’hacking con AndroRAT

Puoi scaricare l’AndroRAT da qui: LINK

Router Port Forwarder (se si utilizza un router wireless) Scarica qui: LINK

Aggiungi un dispositivo android per distribuire il pacchetto.

Ecco i passaggi da seguire se si utilizza un router wireless

Installare Router Port Forwarder nel PC.

Il software è progettato per rilevare il numero di modello del router e visualizzarlo.

Ora nella scheda ” Port Forwording ” fare clic su ” Add“.

• Nella finestra successiva digitare il nome della porta come si desidera, lasciare il protocollo come tcp , immettere la porta che si desidera aprire (Es. 8080,1234,4444 …).
• E infine l’indirizzo IP interno.
• Per conoscere l’indirizzo IP interno aprire Start > Esegui e quindi digitare ncpa.cpl , si apriranno le connessioni di rete attive
• Fare clic con il pulsante destro del mouse sulla rete collegata e fare clic su stato e  successivamente su  dettagli.
• Nelle finestre dei dettagli controllare l’indirizzo IPv4, dovrebbe essere qualcosa di simile a 192.168.XX.XX.

Come distribuire un pacchetto

• Scaricare lo zip AndroRAT e installare l’applicativo.
• Scarica un gioco come Temple Run o Mini Militia a cui puoi legare l’AndroRAT.
• Aprire la cartella estratta e quindi eseguire l’applicazione AndroRat Binder.

• Una volta installato correttamente il risultato apk generato da AndroRat, puoi controllare il dispositivo Android della vittima tramite una GUI ben progettata.
• Nella cartella AndroRat , aprire nuovamente la cartella AndroRat .
• In quella cartella troverete un’applicazione java denominata ” AndroRat “.
• Quando lo si apre per la prima volta, consentire l’eccezione firewall per l’applicazione sul proprio OS.

• Fai clic sul server nella parte superiore e inserisci la porta aperta in precedenza.
• Ora riavviare l’applicazione e l’applicativo inizierà a mettersi in ascolto della nuova porta.
• Nell’app Dashboard troverai un elenco di dispositivi connessi a Internet.
• Fare doppio clic sul dispositivo che si desidera accedere, e si aprirà una  finestra di controllo.

 Chicca: è interessante sapere che questo articolo viene letto da chi cerca “Come spiare il telefono della moglie”

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Come Hackerare uno smartphone Android sembra essere il primo su .

Esempio SQL Injection

Ogni volta che tentiamo di accedere ad un applicativo web, inseriamo delle credenziali che vengono poi utilizzate in una query sul database tipo questo:

SELECT UserID FROM Users WHERE User='user' AND Password='pass';

Questa query non fa altro che andare a verificare che all’interno della tabella Users, ci sia una riga contenente il valore di user e pass specificati dall’utente restituendo quindi il codice ID dello stesso. Se non vi è alcuna corrispondenza, la restituzione di valori corrisponde ovviamente ad un insieme vuoto.

Un attacco SQL Injection consiste molto semplicemente nell’inserire valori all’interno di campi web che alterino l’interpretazione da parte del database generando quindi query non sicure.

Supponiamo quindi di inserire nel campo nome utente il valore “myuser’–” e nel campo password il valore password. Se all’interno degli applicativi web non esistono filtraggi e validazioni di campi, i valori saranno così interpretati:

SELECT UserID FROM Users WHERE UserName='myuser'--' AND Password='wrongpass'

In questo modo verranno interpretati anche i due trattini (–) che in linguaggio SQL determinano l’inizio di un commento che ovviamente non viene interpretato. Quindi, tutto quello posto a seguito dei trattini non viene elaborato. Il risultato è che la query sopra esposta viene in realtà interpretata in questo modo:

SELECT UserID FROM Users WHERE UserName='myuser'

Facile quindi notare che il database andrà alla ricerca di una riga contenente solo il nome utente senza verificare la password restituendo quindi il codice ID. Quindi in questo esempio, riusciamo ad ottenere il codice ID dell’utente senza conoscerne la relativa password.

Ovviamente questo è un esempio molto blando ma, con attacchi più complessi è possibile scrivere file, scaricare o compromettere l’intero database e molto altro ancora

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo SQL Injection: esempio e tutorial ITA sembra essere il primo su .

1 – Attacco Brute Force

L’attacco Brute Force è un attacco attuato provando a ripetizione le combinazioni nome utente e passwords. Questi tipi di attacchi sono effettuati utilizzando software che generano combinazioni random o statistiche. E’ da considerarsi un attacco brute force anche quando l’hacker tenta di inserire come credenziali informazioni che già conosce su di voi come data di nascita, nome dell’animale domestico, attore preferito ecc . Queste informazioni sono facilmente reperibili attraverso i profili sociali su internet.

Come difendersi da un Attacco Brute Force

E’ indispensabile utilizzare come password una combinazione di lettere, numeri e caratteri speciali evitando di utilizzare parole all’interno della stessa.

2 – Attacco Dizionario

Nell’attacco dizionario, gli hackers effettuano un tipo di approccio molto simile al Brute Force ma la generazione delle credenziali attinge direttamente da alcuni dizionari. Più del 50% degli account violati viene effettuato utilizzando questo tipo di attacco. Sul web sono infatti disponibili molti dizionari come ad esempio il dizionario “attori” o il dizionario “nomi di animali”.

Come difendersi da un Attacco Dizionario

Per questo tipo di attacco vale lo stesso suggerimento utilizzato per il Brute Force, ovvero l’utilizzo di password complesse con lettere, numeri e caratteri speciali che non contengano parole o nomi

3 – Phishing

Il Phishing è un altro metodo utilizzato dagli hacker per recuperare le credenziali di accesso di un account. Questo tipo di attacco consiste, quasi sempre, nell’invio alla vittima di una mail con le stesse intestazioni di una banca, social network o altro che invita ad effettuare l’accesso al proprio sistema. In quest’ultima azione, la vittima viene inoltrata in un sito web identico al proprio social network, banca o altro dove persistono i campi di nome utente e password. Inserendo questi valori, questi verranno inviati direttamente all’hacker che li utilizzerà per effettuare l’accesso vero e proprio all’account della vittima

Come difendersi da un Attacco Phishing

Spesso i tentativi di attacco Phishing vengono smascherati in quanto la mail che ci viene recapitata presenta alcune irregolarità come ad esempio un linguaggio palesemente tradotto cono strumenti automatici. Quando si viene redirezionati sul sito della banca, posta o profilo sociale, è fondamentale dare un occhio alla barra degli indirizzi. La maggior parte dei siti che gestisce credenziali utente infatti, fa uso del protocollo HTTPS che ne certifica la navigazione sicura (o quasi ) . E’ fondamentale quindi che a fianco all’indirizzo intenert della pagina sia presente un lucchetto verde o una barra di colore verde come nell’esempio:

4 – Keylogger attack

L’attacco Keylogger è un tipo di attacco che mira a registrare tutti i caratteri che vengono digitati su una tastiera. Questo tipo di attacco può essere di tipo software o hardware:

• Keylogger software: viene infettato il computer di una vittima con un malwere in grado di registrare tutti i caratteri digitati da tastiera e inviare il report via internet all’hacker che provvederà poi ad analizzarlo individuando credenziali e punti di accesso.
• Keylogger Hardware: Utilizzato soprattutto in ambienti pubblici come internet point o laboratori informatici, l’hacker inserire nel PC una minuscola penna USB come questa tra la tastiera ed il pc:

Questa si occuperà di registrare tutti i caratteri digitati. In un secondo momento l’hacker passerà a riscuotere staccando il supporto ed analizzandolo sul suo pc.

Come  difendersi dai keylogger attack

Stare sempre molto attenti ai software che si installano sul pc ed utilizzare un buon antivirus o anti malwere. Quando ci si collega da postazioni pubbliche, evitare se possibile di accedere ai propri account utente, non sappiamo se il pc è già infettato.

5 – Rainbow Table

Questo tipo di attacco è basato su una sorta di dizionari chiamati Rainbow Table. Le password memorizzate sul proprio pc o sui database di siti sono protette da algoritmo di cifratura (ad esempio MD5 o SHA1) che generano una stringa incomprensibile e non reversibile. Se ad esempio la vostra password di Facebook è MarioRossi, sul database del social network verrà memorizzata (ad esempio) la stringa 5bb866eeb99bad75a54ab865b84c9159 . L’hackers che entra in possesso del database non ha alcun modo di capire qual’è la password memorizzata se non quella di attingere alle rainbow table, ovvero tabelle con attribuzione inversa. All’interno di queste ad esempio, troveremo la stringa 5bb866eeb99bad75a54ab865b84c9159 e il suo corrispondente “MarioRossi” che utilizzeremo poi per effettuare accesso al profilo di facebook.

Come difendersi dalle Rainbow Table:

Anche qui è importante utilizzare password formate da lettere, numeri e caratteri speciali che non abbiano una parola finita al loro interno. In questo modo, la possibilità di trovare il corrispondente hash all’interno di una rainbow table è minima.

6 – (Bonus Track )L’attacco più utilizzato dagli hacker? Quello che possiamo chiamare “idiocy attack”

Spesso molti utenti hanno la bruttissima abitudine di tenere a vista le proprie password memorizzate su post-it o su una lavagna nel proprio ufficio o in casa propria. Personalmente ho visto credenziali di accesso in uffici postali, banche e istituti ospedalieri. Il non plus ultra è poi rappresentato dall’utente che ama farsi un selfie in ufficio rendendo quindi pubbliche le credenziali.

Come difendersi dall’idiocy attack?

Consiglio un viaggio a Medjugorje, successivamente l’acquisto di un frustino di media lunghezza da darsi sulle spalle recitando il “Mea Culpa”

Un esempio eclatante :

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo I 5 metodi utilizzati dagli hacker per craccare le password sembra essere il primo su .

Laxman Muthiyah, questo il suo nome, ha descritto il bug legandolo alle Facebook Graph API. Utilizzando un token di autorizzazione generato per la versione mobile di Facebook è riuscito ad eliminare un intero album fotografico Facebook senza bisogno di loggarsi. Sembrerebbe necessario l’invio di una richiesta API su HTTP della vittima utilizzando l’ID dell’album fotografico.

La risposta del Web Service è stata:

Request :-
DELETE /518171421550249 HTTP/1.1
Host : graph.facebook.com
Content-Length: 245
access_token=<Facebook_for_Android_Access_Token>
Response :-
true

Successivamente Laxman, avrebbe inviato la segnalazione di Bug al team Facebook e ricevuto una ricompensa di 12k $ per aver scoperto il bug

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Vulnerabilità di Facebook per eliminare album di Foto sembra essere il primo su .

In questo video molto esaustivo, viene spiegato come creare un file zip protetto da password e successivamente come trovare la password di un file ZIP utilizzando il tool fcrackzip  .

Hai bisogno di una consulenza o assistenza?

Apri un ticket di richiesta, ti risponderò in brevissimo tempo! Chiedere non costa nulla

Apri Richiesta

L'articolo Password Cracker Remover in un file zip sembra essere il primo su .