Tutoriales y Manuales
Entradas Mensuales
-
►
2023
(Total:
710
)
- ► septiembre (Total: 65 )
-
►
2022
(Total:
967
)
- ► septiembre (Total: 72 )
-
►
2021
(Total:
730
)
- ► septiembre (Total: 56 )
-
►
2020
(Total:
212
)
- ► septiembre (Total: 21 )
-
►
2019
(Total:
102
)
- ► septiembre (Total: 14 )
-
►
2017
(Total:
231
)
- ► septiembre (Total: 16 )
-
►
2016
(Total:
266
)
- ► septiembre (Total: 38 )
-
▼
2015
(Total:
445
)
-
▼
octubre
(Total:
35
)
-
Múltiples vulnerabilidades en los CMS de Joomla y ...
-
Tor Messenger Beta, el chat fácil sobre la red Tor
-
OnePlus X ya tiene precio y disponibilidad oficial...
-
Android permitirá grabar la pantalla a través de G...
-
¿A qué edad debe tener un niño su primer teléfono ...
-
Netflix publicará la velocidad real de conexión de...
-
Ya es posible la configuración Multi-GPU Nvidia co...
-
HTC Dream, el primer móvil con Android cumple 7 años
-
Los clientes españoles de Ashley Madison están sie...
-
SocialDrive te avisa de radares y controles polici...
-
Premios Bitácoras 2015: Mejor Blog de Seguridad In...
-
OVH World Tour en Barcelona
-
Western Digital compra SanDisk por 19.000 millones...
-
Rifle desactiva drones a una distancia de hasta 40...
-
BackBox Linux 4.4 para realizar Pentesting
-
Analizar APKs con AndroTotal y binarios con Revers...
-
9 de cada 10 ayuntamientos españoles son vulnerabl...
-
EMET 5.5 incluye la posibilidad de bloquear la car...
-
Adobe confirma importante vulnerabilidad de Flash,...
-
El ransomware cifrador Shade de origen ruso
-
Ataques de fuerza bruta con amplificación en WordP...
-
[NocONName] Congreso No cON Name 2015 en La Salle
-
Determinar extensión de un fichero mirando las cab...
-
Hoox un teléfono ultraseguro a prueba de espías
-
Neural Alfa, el teclado de SwiftKey basado en el a...
-
Un gato buscando redes Wifi, haciendo Wardriving
-
Google presenta oficialmente Android 6.0 Marshmallow
-
Samsung no arreglará el Stagefright 2.0 en algunos...
-
Google implementará HTTPS en Blogger
-
Espiar el móvil de la pareja: dos años y medio de ...
-
Phishing a Google a través de SMS supuestamente en...
-
Botnet se aprovecha de sistemas Linux para realiza...
-
Stagefright 2.0, nueva y grave vulnerabilidad en A...
-
Modificación de mensajes manipulando la base de da...
-
Descubre todo lo que Google sabe de ti
-
- ► septiembre (Total: 47 )
-
▼
octubre
(Total:
35
)
-
►
2014
(Total:
185
)
- ► septiembre (Total: 18 )
-
►
2013
(Total:
100
)
- ► septiembre (Total: 3 )
-
►
2011
(Total:
7
)
- ► septiembre (Total: 1 )
Blogroll
Etiquetas
seguridad
(
389
)
privacidad
(
349
)
ransomware
(
319
)
google
(
312
)
vulnerabilidad
(
262
)
Malware
(
242
)
android
(
227
)
Windows
(
222
)
tutorial
(
215
)
cve
(
207
)
manual
(
200
)
software
(
198
)
hardware
(
181
)
linux
(
120
)
twitter
(
109
)
ddos
(
86
)
Wifi
(
80
)
WhatsApp
(
76
)
herramientas
(
75
)
cifrado
(
73
)
hacking
(
72
)
app
(
63
)
sysadmin
(
60
)
nvidia
(
50
)
Networking
(
49
)
ssd
(
47
)
youtube
(
41
)
firmware
(
39
)
hack
(
39
)
adobe
(
38
)
office
(
38
)
firefox
(
34
)
contraseñas
(
32
)
eventos
(
32
)
antivirus
(
31
)
cms
(
30
)
anonymous
(
27
)
flash
(
27
)
juegos
(
26
)
programación
(
25
)
MAC
(
24
)
multimedia
(
22
)
apache
(
21
)
exploit
(
21
)
javascript
(
21
)
Kernel
(
19
)
ssl
(
18
)
SeguridadWireless
(
17
)
documental
(
16
)
conferencia
(
15
)
Forense
(
14
)
Debugger
(
13
)
lizard squad
(
13
)
técnicas hacking
(
13
)
auditoría
(
12
)
delitos
(
11
)
metasploit
(
11
)
Virtualización
(
10
)
adamo
(
9
)
reversing
(
9
)
Rootkit
(
8
)
Ehn-Dev
(
7
)
MAC Adress
(
6
)
antimalware
(
6
)
oclHashcat
(
5
)
Entradas populares
-
SQLmap es una de las herramienta más conocidas para hacer ataques SQLi (SQL Injection) escrita en Python. SQLmap se encarga de realizar pe...
-
El ransomware es un tipo de malware que emplea cifrado asimétrico para secuestrar la información de la víctima y solicitar un rescate . ...
-
Tras un par de semanas de incertidumbre Microsoft ha confirmado que tiene problemas con Windows y las VPN . La actualización de seguridad...
Ataques de fuerza bruta con amplificación en WordPress usando XMLRPC
miércoles, 14 de octubre de 2015
|
Publicado por
el-brujo
|
Editar entrada
Los Ataques por fuerza bruta son uno de los tipos más antiguos y comunes
de los ataques que todavía vemos en el Internet hoy en día. Si tienes
un servidor en línea, es más probable hayas sufrido estos tipos de
ataques Podría ser a través de protocolos como SSH o FTP, y si se trata
de un servidor web, a través de la fuerza bruta los intentos basados en
la web contra todo lo que la CMS que está utilizando.
Estos ataques a menudo no son muy complejos y son teóricamente fácil de detener y mitigar, pero todavía ocurren y tienen éxito; sobre todo, porque la gente es muy mala en la elección de buenas contraseñas, o el empleo de los buenos hábitos de control de acceso. Hay una captura sin embargo, aunque simple, estos ataques de fuerza bruta son muy ruidosos. Tradicionalmente, para tratar 500 contraseñas diferentes, los atacantes tendrían que intentar 500 intentos de conexión diferentes que se capturaron en una relación 1 a 1 con cada solicitud al servidor. Por diseño, esto simplifica el enfoque de mitigación, como cada solo intento se registra y puede ser bloqueada una vez que se alcanza un cierto límite.
¿Y si, el atacante podría reducir el ruido? ¿Y si el atacante podría hacerlo de modo que se trata de una relación 1 a muchos entre cada solicitud? Imagina una petición que fue capaz de tratar 500 contraseñas de una sola vez.
Imagina un mundo en el que un atacante podría amplificar sus ataques de fuerza bruta de tal manera que las estrategias de mitigación tradicionales están a la altura. En vez de 500 intentos de conexión diferentes, los atacantes podrían reducir sus intentos de conexión que decir 20 o 50 y todavía tratar 500 o incluso miles de contraseñas para cada solicitud. Como se pueden imaginar, esto comienza a hacer su estrategia de mitigación de un poco más difícil de emplear.
Esto sería algo similar a los ataques DDoS de amplificación que escuchamos en las noticias, en un único servidor de comando y control puede aprovechar las cosas como un DNS o métodos de amplificación de la respuesta del protocolo NTP para aumentar su poder de ataque 50 o 100 veces más.
Cualquier tipo de método de amplificación puede hacer el trabajo de un atacante, mucho más fácil.
Una de las características ocultas de XML-RPC es que se puede utilizar el método system.multicall para ejecutar múltiples métodos dentro de una única solicitud. Eso es muy útil, ya que permite la aplicación de pasar varios comandos dentro de una petición HTTP.
Recuerde, sin embargo, cualquier característica que se utiliza para el bien, es probable que se utiliza para el mal en algún momento.
Eso es exactamente lo que está pasando aquí.
En realidad hemos estado siguiendo esto durante un par de semanas (primer ataque descubierto en 2015 / Sep / 10), y se pone cada vez más tracción y cada vez más popular. En vez de ir en contra de wp-login.php (que puede ser fácilmente bloqueados o protegidos mediante .htaccess) o hacer un solo intento contra xmlrpc, los atacantes están aprovechando el método system.multicall intentar adivinar cientos de contraseñas dentro de una sola solicitud HTTP.
Sí, cientos de intentos de conexión dentro de una sola solicitud HTTP. Imagínese ver en su archivo de registro (sí, sólo por esta entrada):
¿Te imagino que esta entrada de registro provenía de una llamada al método system.multicall con cientos de contraseñas intentaron? Con sólo 3 o 4 peticiones HTTP, los atacantes podrían tratar miles de contraseñas, sin pasar por las herramientas de seguridad que están diseñados para verse y bloquear los intentos de fuerza bruta.
La mayoría de los ataques que estamos viendo en la naturaleza están utilizando el método wp.getCategories, que requiere un usuario / pase. Esta es la forma en la solicitud se ve así:
WordPress (xmlrpc) responde si cualquiera de las combinaciones de usuario / pass utilizados tuvieron éxito (en este ejemplo, trató el admin / demo123 y admin / site.com combos contraseña):
Mientras que estamos viendo el método wp.getCategories siendo utilizado, cualquier otro método que requiere autenticación se puede utilizar también, así que el bloqueo sólo wp.getCategories no hará mucho para detener estos ataques. Esta es una lista de los métodos que requieren autenticación:
A continuación se muestra una ilustración de los ataques que hemos estado viendo la orientación del método system.multicall XML-RPC específicamente, y se atribuyen a estos intentos de fuerza bruta. Recuerde, cada solicitud puede significar un ataque de 100 de, si no 1000 del de nombre de usuario / contraseña de fuerza bruta intentos. Algunas operaciones matemáticas sencillas, y podrá apreciar la magnitud de los ataques y su implicaciones potenciales.
Yo directamente recomendaría a la gente bloquean todos los accesos a xmlrpc.php, pero esto rompería la funcionalidad de algunos plug-in (en su mayoría JetPack). Con esto en mente, si usted no está usando JetPack o cualquiera de los otros plugin que lo requieran XML-RPC, podría ser una buena idea para bloquear el acceso directo a la misma por completo.
Si usas el CMS Wordpress añade estas líneas en el fichero de configuración de Apache:
Si no puede bloquear XML-RPC, y usted está usando un WAF (Web firewall de aplicaciones), le recomiendo el bloqueo de solicitudes system.multicall. Apenas se utiliza en la naturaleza y lo protegerá contra estos métodos de amplificación.
Fuentes:
https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html
Estos ataques a menudo no son muy complejos y son teóricamente fácil de detener y mitigar, pero todavía ocurren y tienen éxito; sobre todo, porque la gente es muy mala en la elección de buenas contraseñas, o el empleo de los buenos hábitos de control de acceso. Hay una captura sin embargo, aunque simple, estos ataques de fuerza bruta son muy ruidosos. Tradicionalmente, para tratar 500 contraseñas diferentes, los atacantes tendrían que intentar 500 intentos de conexión diferentes que se capturaron en una relación 1 a 1 con cada solicitud al servidor. Por diseño, esto simplifica el enfoque de mitigación, como cada solo intento se registra y puede ser bloqueada una vez que se alcanza un cierto límite.
Amplificación con Fuerza bruta
¿Y si, el atacante podría reducir el ruido? ¿Y si el atacante podría hacerlo de modo que se trata de una relación 1 a muchos entre cada solicitud? Imagina una petición que fue capaz de tratar 500 contraseñas de una sola vez.
Imagina un mundo en el que un atacante podría amplificar sus ataques de fuerza bruta de tal manera que las estrategias de mitigación tradicionales están a la altura. En vez de 500 intentos de conexión diferentes, los atacantes podrían reducir sus intentos de conexión que decir 20 o 50 y todavía tratar 500 o incluso miles de contraseñas para cada solicitud. Como se pueden imaginar, esto comienza a hacer su estrategia de mitigación de un poco más difícil de emplear.
Esto sería algo similar a los ataques DDoS de amplificación que escuchamos en las noticias, en un único servidor de comando y control puede aprovechar las cosas como un DNS o métodos de amplificación de la respuesta del protocolo NTP para aumentar su poder de ataque 50 o 100 veces más.
Cualquier tipo de método de amplificación puede hacer el trabajo de un atacante, mucho más fácil.
Los ataques de fuerza bruta de amplificación a través de WordPress XML-RPC (PingBack)
Una de las características ocultas de XML-RPC es que se puede utilizar el método system.multicall para ejecutar múltiples métodos dentro de una única solicitud. Eso es muy útil, ya que permite la aplicación de pasar varios comandos dentro de una petición HTTP.
XML-RPC es una forma sencilla y portátil para hacer llamadas a procedimiento remoto a través de HTTP. Se puede utilizar con Perl, Java, Python, C, C ++, PHP y muchos otros lenguajes de programación. WordPress, Drupal y la mayoría de los sistemas de gestión de contenidos soportan XML-RPC.
Recuerde, sin embargo, cualquier característica que se utiliza para el bien, es probable que se utiliza para el mal en algún momento.
Eso es exactamente lo que está pasando aquí.
En realidad hemos estado siguiendo esto durante un par de semanas (primer ataque descubierto en 2015 / Sep / 10), y se pone cada vez más tracción y cada vez más popular. En vez de ir en contra de wp-login.php (que puede ser fácilmente bloqueados o protegidos mediante .htaccess) o hacer un solo intento contra xmlrpc, los atacantes están aprovechando el método system.multicall intentar adivinar cientos de contraseñas dentro de una sola solicitud HTTP.
Sí, cientos de intentos de conexión dentro de una sola solicitud HTTP. Imagínese ver en su archivo de registro (sí, sólo por esta entrada):
194.150.168.95 - - [07 / Oct / 2015: 23: 54: 12 -0400] "POST /xmlrpc.php HTTP / 1.1" 200 14204 "-" "Mozilla / 5.0 (Windows; U; WinNT4.0; de- DE; rv: 1.7.5) Gecko / 20041108 Firefox / 1
¿Te imagino que esta entrada de registro provenía de una llamada al método system.multicall con cientos de contraseñas intentaron? Con sólo 3 o 4 peticiones HTTP, los atacantes podrían tratar miles de contraseñas, sin pasar por las herramientas de seguridad que están diseñados para verse y bloquear los intentos de fuerza bruta.
La mayoría de los ataques que estamos viendo en la naturaleza están utilizando el método wp.getCategories, que requiere un usuario / pase. Esta es la forma en la solicitud se ve así:
...system.multicall
methodName wp.getCategories
params
admin demo123
..
methodName wp.getCategories
params
admin
site.com
WordPress (xmlrpc) responde si cualquiera de las combinaciones de usuario / pass utilizados tuvieron éxito (en este ejemplo, trató el admin / demo123 y admin / site.com combos contraseña):
[{‘faultCode': 403, ‘faultString': ‘Incorrect username or password.‘}, {‘faultCode': 403, ‘faultString': ‘Incorrect username or password.‘}, {‘faultCode': 403, ‘faultString': ‘Incorrect username or password.’}, {‘faultCode': 403, ‘faultString': ‘Incorrect username or password.’}, {‘faultCode': 403, ‘faultString': …
[[{‘url': ‘http://site.com/wordpress/’, ‘isAdmin': True, ‘blogid': ‘1’, ‘xmlrpc': ‘http://site.com/wordpress/xmlrpc.php’, ‘blogName': ‘wpxxx’}]]]
Mientras que estamos viendo el método wp.getCategories siendo utilizado, cualquier otro método que requiere autenticación se puede utilizar también, así que el bloqueo sólo wp.getCategories no hará mucho para detener estos ataques. Esta es una lista de los métodos que requieren autenticación:
wp.getUsersBlogs, wp.newPost, wp.editPost, wp.deletePost, wp.getPost, wp.getPosts, wp.newTerm, wp.editTerm, wp.deleteTerm, wp.getTerm, wp.getTerms, wp.getTaxonomy, wp. getTaxonomies, wp.getUser, wp.getUsers, wp.getProfile, wp.editProfile, wp.getPage, wp.getPages, wp.newPage, wp.deletePage, wp.editPage, wp.getPageList, wp.getAuthors, wp.getTags, wp.newCategory, wp.deleteCategory, wp.suggestCategories, wp.getComment, wp.getComments, wp.deleteComment, wp.editComment, wp.newComment, wp.getCommentStatusList, wp.getCommentCount, wp.getPostStatusList, wp.getPageStatusList, wp. getPageTemplates, wp.getOptions, wp.setOptions, wp.getMediaItem, wp.getMediaLibrary, wp.getPostFormats, wp.getPostType, wp.getPostTypes, wp.getRevisions, wp.restoreRevision, blogger.getUsersBlogs, blogger.getUserInfo, blogger.getPost, blogger.getRecentPosts, blogger.newPost, blogger.editPost, blogger.deletePost, mw.newPost, mw.editPost, mw.getPost, mw.getRecentPosts, mw.getCategories, mw.newMediaObject, mt.getRecentPostTitles, mt.getPostCategories, mt. setPostCategories
A continuación se muestra una ilustración de los ataques que hemos estado viendo la orientación del método system.multicall XML-RPC específicamente, y se atribuyen a estos intentos de fuerza bruta. Recuerde, cada solicitud puede significar un ataque de 100 de, si no 1000 del de nombre de usuario / contraseña de fuerza bruta intentos. Algunas operaciones matemáticas sencillas, y podrá apreciar la magnitud de los ataques y su implicaciones potenciales.
Cómo Protegerse ataques XMLRPC.PHP
Yo directamente recomendaría a la gente bloquean todos los accesos a xmlrpc.php, pero esto rompería la funcionalidad de algunos plug-in (en su mayoría JetPack). Con esto en mente, si usted no está usando JetPack o cualquiera de los otros plugin que lo requieran XML-RPC, podría ser una buena idea para bloquear el acceso directo a la misma por completo.
Si usas el CMS Wordpress añade estas líneas en el fichero de configuración de Apache:
O instalar un plugin:# Block WordPress xmlrpc.php requests
order deny,allow deny from all allow from 123.123.123.123
Si no puede bloquear XML-RPC, y usted está usando un WAF (Web firewall de aplicaciones), le recomiendo el bloqueo de solicitudes system.multicall. Apenas se utiliza en la naturaleza y lo protegerá contra estos métodos de amplificación.
Fuentes:
https://blog.sucuri.net/2015/10/brute-force-amplification-attacks-against-wordpress-xmlrpc.html
Enviar por correo electrónico
Escribe un blog
Compartir con Twitter
Compartir con Facebook
Compartir en Pinterest
![](https://1.bp.blogspot.com/-t7tmKm7jliI/XyWq2KBU7yI/AAAAAAAB7xA/wwws-w9MJ_gLJN46AQTe4aviYGBsICljQCLcBGAsYHQ/s1600/PostTagIcon.png)
0 comentarios :
Publicar un comentario
Los comentarios pueden ser revisados en cualquier momento por los moderadores.
Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.
Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.