--- title: "Nõrgast paroolist häkitud WordPressini 42 katsega" canonical_url: "https://www.zone.ee/blogi/norgast-paroolist-hakitud-wordpressini-42-katsega/" post_type: "post" published: "2019-01-16T08:40:32+00:00" modified: "2025-02-26T20:03:26+00:00" author: "Peeter Marvet" featured_image: "https://www.zone.ee/static/sites/2/2018/11/peeter-1-2-3.jpg" taxonomies: category: - name: "Tehniline" url: "https://www.zone.ee/blogi/category/tehniline/" post_tag: - name: "salasõna" url: "https://www.zone.ee/blogi/tag/salasona/" - name: "Turvalisus" url: "https://www.zone.ee/blogi/tag/turvalisus/" - name: "WordPress" url: "https://www.zone.ee/blogi/tag/wordpress/" skills: - name: "Edasijõudnule" url: "https://www.zone.ee/blogi/skill/edasijoudnule/" --- # Nõrgast paroolist häkitud WordPressini 42 katsega Vaatamata sellele, et iga turva-nõuanne hakkab pihta tugeva parooliga ja enamus kasutajaid sedaküsimise peale ka esimese meetmena nimetavad… on nõrga parooli kasutamine endiselt reaalne probleem. ### Esimene samm: kasutajanimede kogumine Seekordne näide põhineb ühe reaalse ründe logifailidel, alustuseks otsitakse WordPressi kasutajanimesid lapates läbi autorite arhiivi: ``` 163.172.xxx.xxx [10/Dec/2018:20:39:22] "GET /?author=1 HTTP/1.1" 301 163.172.xxx.xxx [10/Dec/2018:20:39:22] "GET /?author=2 HTTP/1.1" 301 163.172.xxx.xxx [10/Dec/2018:20:39:22] "GET /?author=3 HTTP/1.1" 404 ``` Kood 301 on edasisuunamine: kui proovida minna lehele , siis on selleks https://www.zone.ee/blogi/author/petskratt/ … ja minu kasutajanimi `petskratt` on selles kenasti näha. ### Teine samm: parooli mõistatamine: Kui kasutajanimi teada, võib hakata proovima sisselogimist: ``` 163.172.xxx.xxx [10/Dec/2018:20:39:25 +0200] "POST /wp-login.php HTTP/1.1" 200 ``` Selliseid ridu on logis 41 ning kõigi nende puhul on WordPress väljastanud teate, et parool ja/või kasutajanimi ei klapi. Ma olen selliseid katseid kogunud ja tüüpiliselt on proovitavad mustrid kasutaja `petskratt` ja veebilehe `zone` puhul sellised: ``` petskratt2017 petskratt2018 P@ssw0rd petskratt1234 petskratt12345 petskratt@123456 12345678 petskratt@zone zone2018 ``` > Siia sobib kenasti Hasso postitus [Veel kord paroolidest](https://www.zone.ee/blogi/2018/11/22/veel-kord-paroolidest/) ehk kuidas aegunud parooli-nõuded on õpetanud kasutajad justnimelt selliseid lihtsalt ära-arvatavaid paroole kasutama. Ja niimoodi nad siis huupi lappavad, kuni mõne veebi puhul mõne kasutajaga näkkab. Sedapuhku on juba 42. rida on veidi erinev: ``` 163.172.xxx.xxx [10/Dec/2018:20:39:54 +0200] "POST /wp-login.php HTTP/1.1" 302 ``` 302 on jällegi edasi-suunamine ning selle sihiks on /wp-admin … Rohkem IP-aadress 163.172.xxx.xxx logis ei esine, sest töö sai tehtud. 32 sekundiga. Mõni päev hiljem: ``` 103.76.xxx.xxx [12/Dec/2018:06:06:07 +0200] "POST /wp-login.php HTTP/1.1" 302 ``` Kui 163.172.xxx.xxx oli pärit Prantsusmaa internetiteenusepakkuja võrgust, siis 103.76.xxx.xxx külastab meid Indiast, Tamil Nadu osariigist. Kontrollib logini toimimist ja rohkem teda näha pole. ### Kolmas samm: parooli ärakasutamine Ilmselt läheb toimiv kasutajanimi+parool müüki ning uus omanik asub selle abil saiti lammutama: ``` 46.148.xxx.xxx [17/Dec/2018:22:29:54 +0200] "POST /wp-login.php HTTP/1.1" 302 46.148.xxx.xxx [17/Dec/2018:22:29:54 +0200] "GET /wp-admin/ HTTP/1.1" 200 46.148.xxx.xxx [17/Dec/2018:22:39:29 +0200] "POST /wp-admin/update.php?action=upload-theme 46.148.xxx.xxx [17/Dec/2018:22:39:32 +0200] "GET /wp-content/themes/[...]/db.php?u 46.148.xxx.xxx [17/Dec/2018:23:00:32 +0200] "POST /wp-content/themes/[...]/db.php?u ``` Ehk siis login, oma teema üleslaadimine, selles oleva `db.php` tagaukse toimivuse kontroll ja ärakasutamine. Kui huvi, siis see näeb välja selline: ![](https://www.zone.ee/static/sites/2/2019/01/db.php_.png) IP 46.148.xxx.xxx viitab Kiievile, aga kuulub sealsele veebimajutusteenusele ja kuigi tegemist võib olla ka VPNi või veebi-proksi kasutajaga viitavad mõned logiread skriptitud tegevusele, näiteks selle üleslaadimis-käsu puhul on logis referrer-väljal `http://$st2/wp-admin/theme-install.php?browse=featured`. ### Mida sellise jama vältimiseks teha? - ära kunagi kasuta lihtsat parooli – ei enda kontol ega kolleegile / kliendile konto tegemisel (isegi, kui on plaanis see hiljem ära muuta – tõenäoliselt ei muuda seda keegi) - vaata üle veebirakenduse admin’i / halduri õigustes kasutajate nimekiri ja kustuta lahkunud töötajad / endised arendajad jms kasutajad, keda enam vaja ei ole (või pane nende rollik subscriber / lugeja) ### Lisalugu: aga kelle parool lekkis? Kuna selles veebis oli mitu haldurit, siis pakkus mulle suurt huvi konkreetse kasutaja tuvastamine. See ei pruugi alati võimalik olla, aga tasub vaatada `wp_user_meta` tabelis olevaid `session_token` kirjeid. Sedapuhku oli kasutaja 2 kohta kirjas järgnev: ``` a:2:{s:64:"bff45f4a[...]";a:4:{s:10:"expiration";i:1547071064;s:2:"ip";s:11:"77.72.xxx.xxx";s:2:"ua";s:124:"Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3198.0 Safari/537.36 OPR/49.0.2711.0";s:5:"login";i:1545861464;}s:64:"a3c7456[...]";a:4:{s:10:"expiration";i:1548253873;s:2:"ip";s:11:"91.90.xxx.xxx";s:2:"ua";s:124:"Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/62.0.3198.0 Safari/537.36 OPR/49.0.2711.0";s:5:"login";i:1547044273;}} ``` Ülalpool näha oleva 46.148.xxx.xxx loginit ei ole enam näha (sest ta ei ole välja loginud? liiga ammu?), küll aga on näha 2 teist IPd, esimese asukohaks annab [MaxMind](https://www.maxmind.com/en/geoip-demo) Stoke-on-Trent’i ja teise omaks Odessa. Huvilised võivad tuvastada ka sisselogimise aja… ning logist on kenasti näha nende askeldamised 🙂