使用WPScan破解wordpress站点密码

我这里使用的Kali Linux,它默认安装了WPScan。

在使用WPScan之前,先更新它的漏洞数据库:

# wpscan –update

扫描wordpress用户

wpscan -–url [wordpress网址] –-enumerate u

以我的网站为例:

# wpscan --url http://blog.topspeedsnail.com --enumerate u

注意:要用使用两个–,否则报错-“The WordPress URL supplied ‘http://rl/’ seems to be down.”

暴力破解:

wpscan --url [wordpress网址] --wordlist [字典文件] --username [要破解的用户] --threads [开启的线程数]

我已test用户为例:

# wpscan --url http://blog.topspeedsnail.com --wordlist ~/password.txt --username test --threads 

好的密码字典应包含常见的弱密码、手机号、姓名生日组合、各大网站泄露的密码、英语单词等等。如果使用字典破解不了,说明密码还算复杂;暴力穷举更是费时费力。

怎么防止wordpress网站被人使用上面方法破解呢?

防止暴力破解的最好方式是限制一个IP地址的尝试登录次数。WordPress有n多插件可以实现这个功能。我使用的一个插件叫:Brute Force Login Protection。

发表评论

电子邮件地址不会被公开。 必填项已用*标注