¿Cómo han adivinado los robots mi página de inicio de sesión de wordpress?

Muchas herramientas de escaneo web (por ejemplo, Wikto ) tienen la capacidad de lanzar conjeturas de fuerza bruta contra una URL. No hay nada que impida que un atacante use un diccionario y diga curl o wget a bruteforce:

while read line
 do
   wget -qO - http://yoursite.com/$line
 done < /usr/share/dictionary/wordlist

Una tarea común que haría para hacer un pentesting sería algo similar a lo anterior, donde obtendría una copia del sitio, analizaría cada palabra, colocaría cada palabra en una nueva línea y luego buscaría en el sitio los directorios de cualquier palabra enumerada en su sitio. Esto también fue útil para el nombre de usuario varias veces.

Ahora menciona wordpress, y debe decirse que cuando usa complementos, algunos de esos complementos pueden contener "pingbacks" o "bueno, también uso este complemento" donde se incluiría su sitio. Este podría ser otro vector donde un atacante vio su sitio en otro lugar y lo apuntó. En cuanto a WP en general, sitios como " Scritch " pueden decirle a alguien qué se está ejecutando en el sitio (CMS), qué complementos están en uso , etc. Así que imagina lo siguiente: el atacante ve tu sitio en decir un pingback, toma el nombre del sitio, lo mete en scritch. Determina que te atacarán. No encuentran la página de inicio de sesión, por lo que utilizan una táctica similar (script de shell) para encontrar algo .

Me preocuparía poco por los atacantes y me concentraría en crear, por ejemplo, una regla mod_rewrite o un archivo htaccess similar al siguiente:

<IfModule mod_rewrite.c>
RewriteEngine on
RewriteCond %{REQUEST_URI} ^(.*)?oscarfoley\.php(.*)$ [OR]
RewriteCond %{REQUEST_URI} ^(.*)?wp-admin-login$
RewriteCond %{REMOTE_ADDR} !^1\.2\.3\.4$
RewriteCond %{REMOTE_ADDR} !^5\.6\.7\.8$
RewriteRule ^(.*)$ - [R=403,L]
</IfModule> 

Donde 1.2.3.4 es su dirección de inicio, y 5.6.7.8 es quizás la página de su empresa y puede acabar con las preocupaciones de alguien que intente atacar con fuerza bruta a través de la página de inicio de sesión. Otra alternativa que es la seguridad a través de la oscuridad sería crear una URL basada en, por ejemplo, una suma de comprobación SHA1 de una palabra, en lugar de una palabra. Por ejemplo,

$ echo 0sc@r | shasum5.16 -a 1
2ee681adc62a5ca2865bb7424b6a97a9050ddcd4  -

Donde 2ee681adc62a5ca2865bb7424b6a97a9050ddcd4 se convierte en tu URL de inicio de sesión. Nuevamente, la seguridad a través de la oscuridad, pero la noción aquí es que alguien adivinó esa URL en algún momento, puede deducir que su tráfico fue detectado de alguna manera, o guardado en algún lugar.

AÑADIDO DEBIDO A OP EDIT

Los 404s de una dirección significan poco hasta cierto punto. No tiene idea si la conexión de la dirección está funcionando en conexión con otra dirección que realiza intentos de fuerza bruta. (por ejemplo, escaneo / intercambio distribuido)

Bueno, el lápiz y el papel van juntos ... así que tal vez el atacante simplemente adivinó después de encontrar

?pencil

/0gGF9ZAt7us0WbnntE3rqqrRK1PohXjU6Kk6tuRfCMMJdJmZIf

su solución es una página de inicio de sesión basada en IP. Es decir. tienes una lista de direcciones IP estáticas, se les permite abrir la página de inicio de sesión real, otras son redirigidas a una trampa para recopilar el nombre de usuario y la contraseña para un intento de robo + lista negra de la IP de un atacante. ¿De dónde puede estar adivinando? Una respuesta es ... el "software de seguridad" de sus barras de herramientas / complementos + antivirus. Sí, sí se filtran datos. También los registros de proxy de su empleador pueden ser sospechosos. Pruebe un Linux en blanco instalado en una Raspberry Pi 2 con un navegador en blanco sin complementos, y utilícelo y SOLO para iniciar sesión en su wordpress, no en el proxy de su empleador. Y eche un vistazo: la nueva dirección de inicio de sesión estará en uso.