WordPress Recon  (Reconnaissance/Information Gathering)

Titik kunci dari Security Testing adalah : informasi yang sebanyak-banyaknya. Recon More, Exploit Less. Semua informasi dari target itu berguna. Bahkan kadang informasi tentang target itu tidak selalu berasal dari si target. Demikian juga dengan uji keamanan aplikasi berbasis web : WordPress. Pada intinya, seluruh proses VA (Vulnerability Assessment) ataupun penetration testing, selalu diawali dengan Reconnaissance.

WordPress sebagai webapp milyaran umat, menjadi aplikasi portal web yang paling banyak digunakan di dunia. Joomla, ataupun drupal yang lebih rapi programmingnya pun, tak sanggup menumbangkan kedigdayaan WordPress. Begitu juga dengan banyak CMS atau Framework lainnya. Ini karena WordPress sejak semula telah didukung banyak pihak, terutama adalah komunitas. Ditunjang dengan fitur-fitur SEO yang luar biasa, dan diperkaya dengan dukungan plugins development yang bersifat open contribution, WordPress masih akan sulit dikalahkan. Dulu saya pernah dengar di awal 2010 an.. “WordPress bakal gak dipakai, pemerintahan dan sekolah lebih suka Joomla, lebih rapi”. Kenyataan bicara : tidak. WP lebih sakti dari dugaan semua itu. Hweeek.!!

Hukum Rimba Dunia Maya

Semakin populer suatu platform, maka tingkat keamanannya semakin turun. Karena semakin populer suatu hal, maka yang melihat semakin banyak, termasuk para pencari celah. “Security Start From Visibility“. Keamanan itu bermula dari keterlihatan. Semua yang terlihat, ya gak aman. WordPress demikian juga. Maka, sebenarnya siapapun yang mengembangkan portal web berbasis WordPress, sudah menjadi hal penting untuk diuji. Baik keamanannya maupun performanya.

WordPress sendiri, sebenarnya telah teruji puluhan tahun dalam menjalankan peran sebagai web portal. Memang tambal-tambal dan patch ada, menambah makin berat, namun didukung dengan teknologi hardware yang makin baik, dan teknologi web development yang mutakhir, WordPress tetap mampu diandalkan sebagai aplikasi portal. Masalah utama yang ada dalam WordPress sebenarnya adalah pada :

• Core WordPress tidak update
• Penggunaan Themes yang tidak aman
• Penggunaan Plugins yang tidak aman
• Setting server yang tidak secure
• Kredensial User yang passwordnya terlalu mudah ditebak
• Penggunaan environment server, termasuk versi PHP dan ekstensi yang tidak aman

Selanjutnya, seperti biasa, mari kita bahas tentang Vulnerability Assessment untuk aplikasi web berbasis WordPress.

 

Berkenalan dengan WordPress Recon Tool : wpscan

WPscan, adalah tool yang dikembangkan oleh kelompok Ethical Hacking WPScanTeam. WpScan bisa didapatkan di banyak tempat, antara lain :

• Kali Linux (sudah include)
• Github
• Docker
• Menggunakan gem : gem install wpscan

Seperti biasa, saya kali ini akan mengajak menggunakan Docker saja, karena lebih praktis, dan sekali lagi : tidak perlu melakukan instalasi environment tertentu, selama kita memiliki docker di PC kita.

Wpscan Free nggak sih?

Dari situs yang ada didapat informasi (pertanggal hari ini tentunya), bahwa wpscan itu FREE untuk non-commercial use. Tapi memang tersedia wpscan berbayar, yang tentunya memiliki fasilitas lebih.

Dan tentu, secara gratis, wpscan sudah ada di OS-OS khusus untuk penetration testing, seperti Kali Linux.

 

Gimana si pakai wpscan?

Perintah penggunaan docker wpscan cukup simpel :

docker run -it --rm wpscanteam/wpscan --url http://wordpress-app/

Misal

docker run -it --rm wpscanteam/wpscan --url https://blogit.bimosaurus.com/ --enumerate p

 

Opsi enumerate ini dapat digunakan untuk mengenumerasi : plugins, user, ataupun template. Misal kita coba perintah seperti di atas, maka hasilnya adalah seperti berikut :

Cukup mudah ya…

 

Kelemahan-kelemahan

Kelemahan WordPress antara lain,

• dia menggunakan model scanning hit URL, sehingga tetap menimbulkan berisik di log, yang dapat memicu WAF di aplikasi.
• Karena mudah didapat, aplikasi ini pisau bermata dua. Seharusnya hanya digunakan untuk ethical hacking, namun juga akan digunakan oleh para cracker/intruder.
• WPScan pernah menyatakan berbayar, hal ini dapat dipahami bahwa development tool seperti ini membutuhkan biaya yang lumayan
• Server dengan setting False Positive HTTP Response Code, akan memberikan jawaban True untuk semua test yang dikirim oleh WPScan.

 

Ada yang tanya nih

Q: Om, serius ni? Blog om yang dijadikan kelinci percobaan di sini?

A: Betul. Saya sudah mempertimbangkan hal itu. Salah satunya, ya karena saya berusaha belajar ethical hacking, sekaligus mengetest sistem saya sendiri, sekaligus memberi kesempatan teman-teman dari pada ngetest milik orang lain yang tidak dibenarkan. Di server saya juga tidak ada data penting, selain info-info dunia IT untuk teman-teman.

 

Q : Om, lagi ini.. Serius tu server nggak dikasih pelindung lewat CloudFlare gitu?

A : Iya. Sekali lagi, saya berikan kesempatan saja untuk teman-teman untuk belajar. Ya semoga teman-teman cukup baik dalam memanfaatkan untuk hal baik juga.

 

Q: Kalau saya besok mau tanya lagi boleh? Misal ada celah di blog om?

A: Dengan senang hati. Tapi karena saya tidak membuka program bug bounty, saya tidak bisa memberikan hadiah. Hadiahnya 2M. Makasih Mas…

 

Ethical Hacking

Semua yang saya share di blog ini, yang berhubungan dengan hacking, adalah untuk tujuan ETHICAL HACKING, membantu teman-teman pemula seperti saya, untuk mempelajari menjadi seorang TESTER APLIKASI, terutama masalah keamanan. Segala hal yang terjadi di luar blog ini, adalah RISIKO SENDIRI-SENDIRI. Saya tidak pernah mengajarkan atau mengajak teman-teman untuk melakukan pelanggaran hukum. DWYOR. Do With Your Own Risk.

 

Selamat menghabiskan OPOR.

Salatiga coret, Lebaran Hari kedua, 22 April 2023