CARA MENGGUNAKAN WPSCAN

REFRENSI YANG PERTAMA

WPScan merupakan tools vulnerability scanner untuk CMS Wordpress yang ditulis dengan menggunakan bahasa pemrograman ruby, WPScan mampu mendeteksi kerentanan umum serta daftar semua plugin dan themes yang digunakan oleh sebuah website yang menggunakan CMS Wordpress.

Dibawah ini akan saya berikan beberapa contoh penggunaan tools WPScan

Untuk melihat semua opsi yang dapat digunakan, ketikkan perintah

wpscan -h

Penggunaan "non-intrusif"

Kita tidak menambahkan opsi yang ada, ini hanya memberikan query instalasi WP untuk mengambil informasi dasar dari situs tersebut

wpscan -u (url target)

Selajutnya perintah untuk melihat plugin yang terinstall sekaligus melihat plugin yang terdapat vulnerability

wpscan -u (url target) --enumerate p

Hasil dari scanning

Selanjutnya untuk melihat Informasi themes yang digunakan beserta vulnerability-nya

wpscan -u (url target) --enumerate t

Kemudian untuk melihat Informasi plugin timthumbs yang terinstall

wpscan -u (url target) --enumerate tt

Dari hasil scanning di atas tidak terdeteksi files timthumb

Nah sekarang kita coba untuk mencari username pada website yang menggunakan CMS Wondpress tersebut

wpscan -u (url target) --enumerate u

Hasil dari enumerating username, terdapat 5 username pada situs berbasis wordpress tersebut

Selain dapat digunakan enumerate username dan mencari vulnerability pada pulgin atau themes yang digunakan, WPScan juga dapat melakukan serangan bruteforce password juga. tentunya harus menggunakan wordlist.

Perintah untuk melakukan bruteforce seperti dibawah ini, sesuaikan username admin dengan yang muncul saat enumeration username

wpscan -u (url target) --wordlist darkc0de.lst --username admin

Itulah beberapa contoh dari penggunaan WPScan, artikel ini di buat hanya untuk pembelajaran semata, apabila ada penyalahgunaan dari tutorial ini , itu bukan tangggung jawab dari kami. Terima Kasih

REFRENSI KEDUA

Hi guys, kali ini saya akan menunjukan kalian bagaimana cara bruteforce login pada website yang menggunakan CMS WordPress. WordPress sendiri merupakan CMS nomor satu yang digunakan diseluruh negara menurut situs Makeuseof 

Tool wpscan sendiri merupakan tool yang dikembangkan oleh WPScan Team untuk mencari kelemahan-kelemahan yang terdapat pada situs wordpress. Anda dapat mengetahui tema,plugin sampai user yang terdaftar pada situs yang menggunakan wordpress. Bahkan Anda sendiri dapat membruteforce admin login pada website tersebut.

Apa itu bruteforce? Menurut ardikarommysanjaya

Brute Force Attack merupakan metode untuk meretas password (password cracking) dengan cara mencoba semua kemungkinan kombinasi yang ada pada “wordlist“. Metode ini dijamin akan berhasil menemukan password yang ingin diretas. Namun, proses untuk meretas password dengan menggunakan metode ini akan memakan banyak waktu

Metode bruteforce yang akan kita gunakan yaitu dictionary attack. Dictionary attack merupakan serangan bruteforce menggunakan file wordlist yang dicoba satu per satu sampai password yang benar ditemukan

Sekarang Anda telah mengetahui apa itu CMS WordPress dan Bruteforce itu. Sekarang mari kita coba crack password admin pada situs wordpress

[DISCLAIMER] : Tool ini hanya untuk education purpose. Saya menggunakan tool ini untuk men-scan website saya sendiri. Pastikan Anda mempunyai izin dari pemilik website untuk men-scan situs tersebut. Please hack to learn, not learn to hack.

---

Requirements

1. tool wpscan. Saya menggunakan kali linux diman wpscan telah terinstall default. Jika Anda menggunakan distribusi linux yang lain , Anda bisa mendownload tool wpscan disini
2. Website yang terinstall WordPress. Saya menggunakan situs wordpress local saya sendiri.
3. Sebuah wordlist. Kali linux memiliki beberapa  wordlist yang tersimpan pada direktori /usr/share/wordlists . Dalam kasus ini, saya menggunakan wordlist nmap.lst yang tidak terlalu besar. Jika Anda belum mempunyai wordlist tersebut, Anda bisa download disini

Tutorial

[TARGET] http://vulnsite.com/wordpress (local)

[TESTED] Kali Linux 2016.2 , WordPress 4.6.1

1. Buka terminal favorit Anda

 2. Login sebagai root

 3. Untuk melakukan scanning pada website yang menggunakan CMS WordPress. Ketikan perintah dibawah ini:

wpscan -u http://vulnsite.com/wordpress

Pada perintah diatas, wpscan akan melakukan scanning pada plugin dan tema yang digunakan pada situs wordpress tersebut. Perintah ini tidak wajib. Namun jika Anda ingin mencari kelemahan plugin atau tema dari suatu situs wordpress, Anda bisa menggunakan perintah tersebut.

[NOTE] Jika tool wpscan menanyakan Anda untuk mengupdate, tekan Enter saja untuk tidak mengupdate. Namun jika Anda menggunakan OS selain Kali Linux, Anda diharuskan untuk mengupdate supaya database wpscan terupdate dengan mengetikkan y lalu tekan Enter.

4. Selanjutnya kita harus menemukan daftar user admin pada website tersebut, jalankan perintah ini:

wpscan -u http://vulnsite.com/wordpress --enumerate u

Bingo! Website ini masih menggunakan ‘admin’ sebagai default user administrator. Mari kita mulai proses cracking

5. Syntax untuk crack login dengan wpscan adalah :

wpscan --url http://vulnsite.com/wordpress/ --wordlist /usr/share/wordlists/nmap.lst --username admin

Pastikan parameter –url merupakan url root dari cms wordpress (Website yang akan Anda scan mungkin tidak perlu menyisipkan /wordpress). Pastikan juga file wordlist di direktori yang benar. Untuk username, admin merupakan username yang telah kita temukan pada step ke-4 (punya Anda bisa jadi berbeda).

Mari kita eksekusi perintah diatas. (Lama proses cracking tergantung dari tingkat kekuatan password serta jumlah wordlist yang digunakan)

Boom! Kita telah menemukan password dari username admin, passwordnya adalah ‘spongebob’

Mari kita coba login tersebut pada website tersebut

6. Buka browser Anda lalu akses ke alamat admin dengan hanya menambahkan /wp-admin pada url website.

Dalam kasus saya, saya akan mengakses url

http://vulnsite.com/wordpress/wp-admin

7. Mari kita inputkan username dan password yang kita dapatkan pada hasil scan dari wpscan yaitu admin sebagai username, dan spongebob sebagai password.

Dan berhasil! Kita berhasil masuk ke dalam admin panel pada website wordpress tersebut.

Sekarang kita bisa lakukan apapun terhadap website ini, tapi ingat!  jangan Anda rusak isi konten dari website tersebut. Laporkanlah kepada admin dengan mengirim email dengan isi bahwa websitenya belum aman

Solution

Jika Anda merupakan pengguna WordPress, lakukan langkah ini agar website Anda tidak dapat diserang menggunakan metode yang kita gunakan tadi

• Install plugin “Wordfence Security”. Plugin ini menambahkan fitur WAF (Web Application Firewall) pada situs WordPress Anda dengan memblok serangan login yang terus menerus berlangsung seperti serangan bruteforce yang kita lakukan tadi. Plugin ini sangat recommended karena plugin ini merupakan plugin keamanan yang paling banyak didownload pengguna WordPress, Para developer dari Wordfence Security-pun selalu mengupdate plugin ini secara berkala, jadi situs WordPress kita akan selalu aman seiring berjalannya waktu.

• Dan yang paling terpenting adalah mengubah password Anda menjadi lebih aman. Password yang aman merupakan password yang terdiri darii huruf [a-z], angka [0-1] serta simbol-simbol seperti !@#,.% . Gunakan kombinasi tersebut supaya para hacker kewalahan untuk meng-crack password Anda. howsecureismypassword.net. Namun jika Anda sudah menginstall plugin WAF seperti Wordfence Security, hacker tidak akan bisa membruteforce situs wordpress kita. Tetapi tetap perlu password yang kuat untuk jaga-jaga jika situs WordPress yang kita gunakan memiliki celah tak terduga yang hanya diketahui oleh pihak penyerang (Sering disebut dengan 0-day) , kemudian hacker tersebut memiliki akses database situs WordPress kita, maka dari itu agar password yang kuat sangatlah penting bagi semua website yang menerapkan CMS, tidak hanya WordPress. Jika Anda ingin mengecek seberapa lama hacker dapat mengecrack password kita Anda bisa akses ke situs

Sumber :

http://anher323.blogspot.co.id/2016/01/cek-celah-vulnerability-cms-wordpress.html

http://dytracode.blogspot.com/2016/10/tutorial-bruteforce-login-wordpress.html