Ataques Fuerza Bruta WordPress wp-login.php

Podemos crear una sencilla regla en el firewall de CloudFlare para prevenir ataques de fuerza bruta de la página de login del CMS Wordpress

También en el plan gratuito podemos hasta 5 reglas del Firewall (en el plan de pago pro 20 reglas.

Ejemplo regla:

(http.request.uri.path contains "/wp-login.php" and ip.geoip.country ne "ES") 

Si el request URI (si la URL) incluye wp-login.php y la IP no sea de España pues podemos mostrar un captcha Challenge (Captcha) o bloquear (Block) directamente.

O instalar plugins gratuitmos como:

• Limit Login Attempts Reloaded
• WP Limit Login Attempts

Proteger - Securizar - Hardening - WordPress

• Mantener actualizada la versión Core (Núcleo) de WordPress
• Mantener actualizados los Plugins
• Mantener actualizados los Themes (temas de diseño)
• Usar themes y plugins con buena reputación
• Evitar usar contraseñas y/o usuarios por defecto (admin) y/o contraseñas débiles 

 Sentencia SQL para cambiar el usuario Admin por nuestro usuario

UPDATE wp_users SET user_login = 'elhacker' WHERE user_login = 'admin';, 

 Estructura interna de WordPress

/ 

The root WordPress directory: all files should be writable only by your user account, except .htaccess if you want WordPress to automatically generate rewrite rules for you.

/wp-admin/ 

The WordPress administration area: all files should be writable only by your user account.

/wp-includes/ 

The bulk of WordPress application logic: all files should be writable only by your user account.

/wp-content/ 

User-supplied content: intended to be writable by your user account and the web server process.

Within /wp-content/ you will find:

/wp-content/themes/ 

Theme files. If you want to use the built-in theme editor, all files need to be writable by the web server process. If you do not want to use the built-in theme editor, all files can be writable only by your user account.

/wp-content/plugins/ 

Plugin files: all files should be writable only by your user account.

En el fichero de configuración: wp-config.php

// automatic wordpress updates
//https://codex.wordpress.org/Configuring_Automatic_Background_Updates
define( 'WP_AUTO_UPDATE_CORE', true );

# Disables all core updates:

define( 'WP_AUTO_UPDATE_CORE', false );

# Enables all core updates, including minor and major:

define( 'WP_AUTO_UPDATE_CORE', true );

# Enables core updates for minor releases (default):

define( 'WP_AUTO_UPDATE_CORE', 'minor' );

Para los Themes y plugins añadir:

add_filter( 'auto_update_plugin', '__return_true' );
add_filter( 'auto_update_theme', '__return_true' );

Recuerda también cambiar las "secret keys" (security keys) en el fichero de configuración:
Introducido por primera vez en WordPress versiones 2.5, 2.6 y 2.7

• https://codex.wordpress.org/Editing_wp-config.php#Security_Keys

define('AUTH_KEY', 'put your unique phrase here');
define('SECURE_AUTH_KEY', 'put your unique phrase here');
define('LOGGED_IN_KEY', 'put your unique phrase here');
define('NONCE_KEY', 'put your unique phrase here');

 Usar SSL/TLS, es decir, https si tu hosting lo soporta o lo implementa:

define('FORCE_SSL_LOGIN', true);
define('FORCE_SSL_ADMIN', true);

Otra opción no recomendada sería evitar todo tipo de cambios desde el escritorio

Si quieres evitar que desde la administración de WordPress se pueda modificar el código de ficheros, puedes añadir la siguiente línea al fichero wp-config.php

define( ‘DISALLOW_FILE_EDIT’, true );

Si la web ya está creada y no necesitas añadir nuevos plugins o plantillas, también puedes deshabilitar la instalación de temas y plantillas añadiendo:

define(‘DISALLOW_FILE_MODS’,true)

También sería útil cambiar el prefijo (prefix) por defecto de las tablas de wp:

$table_prefix = 'wp_';

Plugins de Seguridad en WordPress

Usar algún plugin de seguridad como el de Sucuri , iThemes o Acunetix:

• https://wordpress.org/plugins/sucuri-scanner/ (Sucuri)
• https://wordpress.org/plugins/better-wp-security/ (iThemes Security)
• https://wordpress.org/plugins/wp-security-scan/
• https://wordpress.org/plugins/bulletproof-security/ 
• https://github.com/wpscanteam/wpscan

El plugin de Sucuri se encarga de:

• Security Activity Auditing
• File Integrity Monitoring
• Remote Malware Scanning
• Blacklist Monitoring
• Effective Security Hardening
• Post-Hack Security Actions
• Security Notifications
• Website Firewall (add on)

Ocultar la versión de WordPress:

Por defecto WordPress tiene una meta etiqueta con el número de la versión:

meta name="generator" content="WordPress " /

 Una opción sería:

remove_action('wp_head', 'wp_generator');

Pero sigue apareciendo en el feed de RSS.

Así que es mejor usar una función en el fichero functions.php para ocultar la versión en todas partes:

function wpversion_remove_version() {
return '';
}
add_filter('the_generator', 'wpversion_remove_version');

Actualizaciones de seguridad programadas automáticas 

 O puedes usar un cliente en línea de comandos como wp-cli

• http://wp-cli.org/

Puedes programar para actualizar WordPress con una sencilla tarea programa si la necesidad de usar el navegador.

Ejemplo actualización del WordPress hwagm.elhacker.net

Core:

/usr/local/bin/php /home/hwagm.elhacker.net/wp-cli.phar --path=/home/hwagm.elhacker.net/public_html/hwagm-elhacker-net core update 

Plugins

/usr/local/bin/php /home/hwagm.elhacker.net/wp-cli.phar --path=/home/hwagm.elhacker.net/public_html/hwagm-elhacker-net plugin update --all

Themes

/usr/local/bin/php /home/hwagm.elhacker.net/wp-cli.phar --path=/home/hwagm.elhacker.net/public_html/hwagm-elhacker-net theme update --all

Permisos

Following is a list of desired permissions on sensitive items and fallback options:

• wp-config.php
  • Desired: 400
  • Fallback: 440, 600, 640
• uploads folder
  • Desired: 755
  • Fallback: 766, 777 (not recommended)
• .htaccess files
  • Desired: 400
  • Fallback: 440, 444, 600, 640

 Podemos también proteger WordPress usando ficheros .htaccess

Protegiendo el fichero wp-config.php para que no sea visible vía el navegador

<files wp-config.php>
order allow,deny
deny from all
</files>

O restringir el acceso vía ip (si tenemos una ip fija) del fichero wp-login.php

order deny,allow
Deny from all
# allow access from my IP address
allow from 192.168.5.1

Deshabilitar XML-RPC

Si te decides a deshabilitar XMLRPC, puedes hacerlo manualmente o utilizando el plugin XMLRPC Disable.

Para hacerlo manualmente has de añadir esta línea en el fichero functions.php:

 add_filter('xmlrpc_enabled', '__return_false'); 

O usar un fichero htaccess:

## block any attempted XML-RPC requests

order deny,allow
deny from all
allow from 123.123.123.123

Y si usamos ngninx en vez de Apache.

## block any attempted XML-RPC requests
location = /xmlrpc.php {
    deny all;
}

 Avanzado - Cabeceras de Seguridad en WordPress

La mejor forma de añadir esta cabecera sería añadiendo unas líneas de código al archivos functions.php del tema de WordPress que estemos usando. Este archivo se encuentra en la ruta wp-content/themes/NOMBRE_TEMA, en donde NOMBRE_TEMA es el nombre del tema que tenemos activado. En primer lugar, haremos una copia de seguridad del archivo functions.php. Después lo editamos y añadimos el siguiente código al final del mismo:

add_action( 'send_headers', 'add_header_xframeoptions' );
function add_header_xframeoptions() {
header( 'X-Frame-Options: SAMEORIGIN' );
}

add_action( 'send_headers', 'add_header_seguridad' );
function add_header_seguridad() {
header( 'X-Content-Type-Options: nosniff' );
header( 'X-Frame-Options: SAMEORIGIN' );
header( 'X-XSS-Protection: 1;mode=block' );
}

Existen otras maneras de poner añadir esta cabecera . Si tenemos Apache como servidor web podremos usar el fichero .htaccess, agregando el código que se indica a continuación:

Header always append X-Frame-Options SAMEORIGIN

En el caso de usar Nginx, habría que introducir el siguiente código en el fichero de configuración de Nginx:
 

add_header X-Frame-Options SAMEORIGIN;

Ver más opciones de cabeceras de seguridad:
https://blog.elhacker.net/2016/03/cabeceras-http-opciones-de-seguridad-hardering-en-el-servidor-web-apache-nginx.html