Protege WordPress contra inyecciones SQL

Estado
No está abierto para más respuestas.
romanwp

romanwp

Estafador
Usuario de Bronce
Mensajes
2,158
Puntuación de reacción
0
Como todos saben wordpress es el cms mas popular, asi también lo es para los hacker y personas mal intencionadas que quieren insertar scripts en archivos de tu tema.

Para evitar que esto nos pase:

Paso 1 Cambia el prefijo de la base de datos.

Paso 2 Cambia el nombre de usuario admin por otro distinto.

Paso 3 Instala un plugin de seguridad anti ataques SQL
recomiendo WordPress › BulletProof Security « WordPress Plugins
 
adthz

adthz

Oro
Usuario de Bronce
Mensajes
1,090
Puntuación de reacción
0
este las inyeciones, lo que hace es borrar el contenido de la base de datos verdad?

es que he tenido varios ataques y quisiera saber
 
Gustavo Rodriguez

Gustavo Rodriguez

Hierro
Mensajes
296
Puntuación de reacción
0
adthz dijo:
este las inyeciones, lo que hace es borrar el contenido de la base de datos verdad?

es que he tenido varios ataques y quisiera saber
Click para expandir ...

Lo que hacen es acceder a la base de datos y sacar cualquier información, lo primero que hacer es sacar la contraseña del admin.


Enviado desde mi iPad 2 con Tapatalk HD
 
ch3

ch3

Mensajes
21
Puntuación de reacción
0
Gracias por la recomendacion, casualmente tengo algun bicho que se publica en mi web desde wp_head y redirecciona a otro sitio web
 
Jota Marquez

Jota Marquez

Administrador
Miembro del equipo
Usuario de Piedra
Usuario de Bronce
Mensajes
4,255
Puntuación de reacción
161
Gustavo Rodriguez dijo:
Lo que hacen es acceder a la base de datos y sacar cualquier información, lo primero que hacer es sacar la contraseña del admin.


Enviado desde mi iPad 2 con Tapatalk HD
Click para expandir ...

La verdad es que dejó de tener utilidad lo de sacar la contraseña del administrador encriptada, puede ser que te jodan entradas, o información, pero sacar la contraseña con la nueva encriptación, es muuuuy difícil
 
Gustavo Rodriguez

Gustavo Rodriguez

Hierro
Mensajes
296
Puntuación de reacción
0
Jose dijo:
La verdad es que dejó de tener utilidad lo de sacar la contraseña del administrador encriptada, puede ser que te jodan entradas, o información, pero sacar la contraseña con la nueva encriptación, es muuuuy difícil
Click para expandir ...

En eso tienes razón, pero imaginemos que yo hago SQL injection y llego al campo donde esta la contraseña encriptada, simplemente instalo un wordpress y pongo mi contraseña, me voy a la base de datos y en el campo contraseña me sale encriptada pues simplemente la copio e inyecto ese código a donde hice SQL injection, asi pues la contraseña se cambia a la mia :)

Ya podiendo hacer las maldades.
 
romanwp

romanwp

Estafador
Usuario de Bronce
Mensajes
2,158
Puntuación de reacción
0
Gustavo Rodriguez dijo:
En eso tienes razón, pero imaginemos que yo hago SQL injection y llego al campo donde esta la contraseña encriptada, simplemente instalo un wordpress y pongo mi contraseña, me voy a la base de datos y en el campo contraseña me sale encriptada pues simplemente la copio e inyecto ese código a donde hice SQL injection, asi pues la contraseña se cambia a la mia :)

Ya podiendo hacer las maldades.
Click para expandir ...

Tienes toda la Razon asi salve ahora poco uno de mis blog
 
feltoxXx

feltoxXx

Cobre
Usuario de Bronce
Mensajes
916
Puntuación de reacción
0
Han probado con aplicarle restricciones de acceso a la carpeta wp-admin??? o cambiarle el nombre??? son buenas tecnicas tambien...
 
Jota Marquez

Jota Marquez

Administrador
Miembro del equipo
Usuario de Piedra
Usuario de Bronce
Mensajes
4,255
Puntuación de reacción
161
Gustavo Rodriguez dijo:
En eso tienes razón, pero imaginemos que yo hago SQL injection y llego al campo donde esta la contraseña encriptada, simplemente instalo un wordpress y pongo mi contraseña, me voy a la base de datos y en el campo contraseña me sale encriptada pues simplemente la copio e inyecto ese código a donde hice SQL injection, asi pues la contraseña se cambia a la mia :)

Ya podiendo hacer las maldades.
Click para expandir ...

Esto no me encaja bien, instalas un wordpress donde? en tu servidor? aun asi, solo podrias tocar tu servidor no?

Con PHPass no vas a poder desencriptar la contraseña, solo cambiarla, y si la cambias tn eu servidor lo único que vas a tener son todas las entradas, sin imágen, pero no le vas a poder afectar al blog principal.
 
Gustavo Rodriguez

Gustavo Rodriguez

Hierro
Mensajes
296
Puntuación de reacción
0
Jose dijo:
Esto no me encaja bien, instalas un wordpress donde? en tu servidor? aun asi, solo podrias tocar tu servidor no?

Con PHPass no vas a poder desencriptar la contraseña, solo cambiarla, y si la cambias tn eu servidor lo único que vas a tener son todas las entradas, sin imágen, pero no le vas a poder afectar al blog principal.
Click para expandir ...

Bueno mira me refiero a instalarlo en mi servidor, irme a phpmyadmin y sacar la contraseña encriptada (la mia, por logica yo me se mi contraseña).
Entonces inyectas la contraseña mia encriptada en el wordpress victima y asi ahora la contraseña del admin del wordpress victima sera la misma que puse cuando instale en wordpress.

Entras al admin y pues tienes control de wordpress.

Espero haberme explicado bien, saludos.


Enviado desde mi iPad 2 con Tapatalk HD
 
Jota Marquez

Jota Marquez

Administrador
Miembro del equipo
Usuario de Piedra
Usuario de Bronce
Mensajes
4,255
Puntuación de reacción
161
Gustavo Rodriguez dijo:
Bueno mira me refiero a instalarlo en mi servidor, irme a phpmyadmin y sacar la contraseña encriptada (la mia, por logica yo me se mi contraseña).
Entonces inyectas la contraseña mia encriptada en el wordpress victima y asi ahora la contraseña del admin del wordpress victima sera la misma que puse cuando instale en wordpress.

Entras al admin y pues tienes control de wordpress.

Espero haberme explicado bien, saludos.


Enviado desde mi iPad 2 con Tapatalk HD
Click para expandir ...

Pero, como entras al wp-admin con la contraseña encriptada?
 
Gustavo Rodriguez

Gustavo Rodriguez

Hierro
Mensajes
296
Puntuación de reacción
0
Entro con mi contraseña normal pues se supone que inyecte la contraseña encriptada y wordpress la entiende o desifra.
 
tranzorx

tranzorx

Hierro
Mensajes
381
Puntuación de reacción
1
No soy experto en WP y por tanto desconozco su sistema de seguridad.
Sacar la contraseña encriptada no es tan simple como copiar y pegar de un sitio a otro.
En los tiempos de la máquina "Enigma" de los nazi ya se usaban contraseñas con sistemas de encriptación más complejos. Desde entonces ya ha llovido.
No vale con saber el código encriptado, sino que también hay que saber la secuencia o la función de encriptación.
Son dos variables que se multiplican exponencialmente, lo que arroja un número de probabilidades con muchísimos ceros.

Dicho ésto, no es obstáculo para cuidar la seguridad que es muy importante.

Saludos!!
 
iTron

iTron

Hierro
Mensajes
168
Puntuación de reacción
0
José Marquez dijo:
La verdad es que dejó de tener utilidad lo de sacar la contraseña del administrador encriptada, puede ser que te jodan entradas, o información, pero sacar la contraseña con la nueva encriptación, es muuuuy difícil
Click para expandir ...

Las encriptaciones de Mysql siguen estando en MD5 e incluso muchas BD están desencriptadas , saludos.
 
vmartinez

vmartinez

Cobre
Usuario de Bronce
Mensajes
817
Puntuación de reacción
0
Con el paso 1 y 2 no haces nada contra inyección SQL. Con el pluggin del paso 3 si.
Serian consultas contra la base de datos mal realizadas.

Por defecto Wordpress no tiene(salvo vulnerabilidades no conocdias) , suelen estar más en pluggins poco conocidos o desactualizados.
 
Estado
No está abierto para más respuestas.

Comparte esta página

Arriba