Vulnerabilidades

Case StudyVulnerabilidad con el robots.txt

1. Agregar reglas en el fichero de negar a los crawlers entrar a las carpetas de configuración , library y administracion del sitio. Con eso se deshabilita el acceso a la información de wordpress como plataforma en cuestión y del sitio en cuestión:
Disallow: /wp-admin/
Disallow: /stats/
Disallow:/wp-includes/
Disallow:wp-*

2. Instalar el plugin de seguridad wordfence en caso de que no se tenga. Configurar las reglas de seguridad que tiene en su versión gratis:
– Limitar a 3 los intentos de logueos fallidos.
– Limitar a 5 los password olvidados.
– Obligar a los usuarios a crear contraseñas fuertes.

Vulnerabilidad con el wp-login. Acceso al panel de administración

1. Instalar el plugin de seguridad wordfence en caso de que no se tenga. Configurar las reglas de seguridad que tiene en su versión gratis:
– Limitar a 3 los intentos de logueos fallidos.
– Limitar a 5 los password olvidados.
– Obligar a los usuarios a crear contraseñas fuertes.

2. Agregar al htaccess <Files wp-config.php>
order allow,deny
deny from all
</Files>

 

Vulnerabilidad contra ataques Ddoss

1. Instalar el plugin de seguridad wordfence en caso de que no se tenga. Configurar las reglas de seguridad que tiene en su versión gratis:
– Limitar a 3 los intentos de logueos fallidos.
– Limitar a 5 los password olvidados.
– Obligar a los usuarios a crear contraseñas fuertes.

2. Agregar la regla al htaccess:
LimitRequestBody 10240000

Vulnerabilidad contra ataques traversales

Actualizar el wordpress en su última versión. En caso de que surjan problemas de compatibilidad con ficheros y library, instalar el plugin Anti-Malware Security and Brute-Force Firewall y tener el sitio con una versión mayor o igual a 4.6.1.

Vulnerabilidad contra inyección SQL

1. Actualizar el wordpress en su última versión. En caso de que surjan problemas de compatibilidad con ficheros y library, tener el sitio con una versión mayor o igual a 4.6.1.

2. Agregar al htaccess la siguiente regla:

RewriteCond %{HTTP_USER_AGENT} ^$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^(-|\.|’) [OR]
RewriteCond %{HTTP_USER_AGENT} ^(.*)(<|>|%3C|%3E)(.*) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(java|curl|wget)(.*) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(.*)(libwww-perl|libwwwperl|snoopy|curl|wget|winhttp|python|nikto|scan|clshttp|archiver|loader|email|harvest|fetch|extract|grab|miner|suck|reaper|leach)(.*) [NC,OR]

RewriteCond %{REQUEST_URI} ^(/,|/;|/<|/>|/’|/`|/%2C|/%3C|/%3E|/%27|/////) [NC,OR]
RewriteCond %{HTTP_REFERER} ^(.*)(%00|%08|%09|%0A|%0B|%0C|%0D|%0E|%0F|%2C|<|>|’|%3C|%3E|%26%23|%27|%60)(.*) [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)(%00|%08|%09|%0A|%0B|%0C|%0D|%0E|%0F|%2C|%3C|%3E|%27|%26%23|%60)(.*) [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)(‘|-|<|>|,|/|\\|\.a|\.c|\.t|\.d|\.p|\.i|\.e|\.j)(.*) [NC,OR]
RewriteCond %{HTTP_COOKIE} ^(.*)(<|>|’|%3C|%3E|%27)(.*) [NC]

RewriteRule ^(.*)$ error.php [NC]

Vulnerabilidad en el wp-config

1. Modificar en el wp-config en donde viene:
define(‘AUTH_KEY’, ‘put your unique phrase here’); define(‘SECURE_AUTH_­KEY’, ‘put your unique phrase here’); define(‘LOGGED_IN_KE­Y’, ‘put your unique phrase here’); define(‘NONCE_KEY’, ‘put your unique phrase here’); define(‘AUTH_SALT’, ‘put your unique phrase here’); define(‘SECURE_AUTH_­SALT’, ‘put your unique phrase here’); define(‘LOGGED_IN_SA­LT’, ‘put your unique phrase here’); define(‘NONCE_SALT’,­ ‘put your unique phrase here’);

2. Sustituirlo por lo que se genere en:
https://­api.wordpress.org/­secret-key/1.1/salt/

Vulnerabilidad XML-RCP

1. Se elimina o renombra, en depencia si el sitio utiliza o no el api XML-RCP

2. Agregar el filtro:
add_filter(‘xmlrpc_enabled’, ‘__return_false’);
en el fichero de configuración de wordpress wp-config.php para evitar
que se utilice el protocolo.

3. Agregar al fichero functions.php del theme el filtro:
add_filter( ‘xmlrpc_methods’, function( $methods ) {
unset( $methods[‘pingback.ping’] );
return $methods;
} ); desactivando así en el theme el protocolo, evitando que con
backdoors en el theme puedan tratar de activar el protocolo en el
sitio.

4. Agregar al .htaccess la siguiente regla:
<Files “xmlrpc.php”>
order deny,allow
deny from all
allow from 10.0.0.0/8
allow from 127.0.0.0/8
allow from 172.16.0.0/12
allow from 192.168.0.0/16
</Files>

5. Instalar el plugin de seguridad wordfence en caso de que no se tenga. Configurar las reglas de seguridad que tiene en su versión gratis:
– Limitar a 3 los intentos de logueos fallidos.
– Limitar a 5 los password olvidados.
– Obligar a los usuarios a crear contraseñas fuertes.

Vulnerabilidad XSS

1. Actualizar el wordpress en su última versión. En caso de que surjan problemas de compatibilidad con ficheros y library, tener el sitio con una versión mayor o igual a 4.6.1.

2. Agregar al htaccess la siguiente regla:

RewriteCond %{HTTP_USER_AGENT} ^$ [OR]
RewriteCond %{HTTP_USER_AGENT} ^(-|\.|’) [OR]
RewriteCond %{HTTP_USER_AGENT} ^(.*)(<|>|%3C|%3E)(.*) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(java|curl|wget)(.*) [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^(.*)(libwww-perl|libwwwperl|snoopy|curl|wget|winhttp|python|nikto|scan|clshttp|archiver|loader|email|harvest|fetch|extract|grab|miner|suck|reaper|leach)(.*) [NC,OR]

RewriteCond %{REQUEST_URI} ^(/,|/;|/<|/>|/’|/`|/%2C|/%3C|/%3E|/%27|/////) [NC,OR]
RewriteCond %{HTTP_REFERER} ^(.*)(%00|%08|%09|%0A|%0B|%0C|%0D|%0E|%0F|%2C|<|>|’|%3C|%3E|%26%23|%27|%60)(.*) [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)(%00|%08|%09|%0A|%0B|%0C|%0D|%0E|%0F|%2C|%3C|%3E|%27|%26%23|%60)(.*) [NC,OR]
RewriteCond %{QUERY_STRING} ^(.*)(‘|-|<|>|,|/|\\|\.a|\.c|\.t|\.d|\.p|\.i|\.e|\.j)(.*) [NC,OR]
RewriteCond %{HTTP_COOKIE} ^(.*)(<|>|’|%3C|%3E|%27)(.*) [NC]

RewriteRule ^(.*)$ error.php [NC]

Instalar Google Analytics en WordPress¿Qué te ha parecido este post? ¿Tienes alguna duda o sugerencia?

Anuncios

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s