Deface Wordpress Bruteforce dengan WPScan

squadcyber.org - Kali ini gw bagiin tutorial Deface Wordpress Bruteforce dengan WPScan, kenapa WPScan ? kenapa nggak pake tools yang lainnya?.

Karena menurut gw tool yang paling manjur untuk Penetration Testing sebuah web yang menggunakan CMS Wordpress adalah WPScan, dan WPScan sering melakukan update pada database nya sehingga bisa memberikan refrensi untuk bug yang di dapat pada waktu scan bug di web tersebut dan bisa meng eksploitasi Web yang menggunakan CMS Wordpress terbaru.

Bahan - Bahan

 - WPScan ( Untuk Windows bisa kalian lihat di sini , dan untuk android bisa kalian lihat Di sini )
 - Wordlist ( Download Di sini atau kalian bisa buat sendiri)

Dork 

  - inurl:/wp-login.php

(kembangin lagi)

Cara Deface Wordpress Bruteforce

kali ini gw pake Termux ( android ) karena minim nya fasilitas yang ada :v.

Pertama kalian busa folder wpscan nya dengan mengetik

$ cd wpscan

Setelah masuk di folder wpscan nya , kita scan dulu username admin web target kita dengan mengetik

$ ruby wpscan.rb --url http://targetkita.co.il/ --enumerate u

Nanti akan muncul seperti gambar di bawah ini

Setelah kita dapatkan username admin web tersebut, langsung kita bruteforce dengan mengetikkan

$ ruby wpscan.rb --url http://targetkita.co.il/ --username nama_user --wordlist nama_file_wordlist

Tunggu sampai selesai proses bruteforce nya, keberhasilan bruteforce tergantung isi wordlist kita dan kelalaian admin saat memberikan password tersebut.

Jika password dari wordlist kita ada yang cocok dan berhasil login maka akan muncul seperti gambar di bawah ini.

Dan coba buka halaman admin login nya di browser , http://targetkita.co.il/wp-login.php.

Dan masukkan username dan password yang sudah kita dapatkan dari Bruteforce WPScan tadi.

Setelah masuk halaman dashboard admin, terserah kita mau ngapain :v, dan untuk cara upload shell di CMS Wordpress bisa kalian lihat Di sini