O documento discute os riscos de segurança do WordPress, como hackers exploram vulnerabilidades para realizar ataques como download de arquivos locais e injeção SQL. É fornecido conselhos para desenvolvedores melhorarem a segurança, como seguir padrões, testar código e manter software atualizado.
6. Momento “Reflexão”
“O problema com os programadores é que você
nunca consegue saber o que eles estão fazendo
antes de ser tarde demais.”
Seymour Cray
“Quanto maior facilidade, maior a
probabilidade para o desenvolvedor fazer
cagada.”
Pensador desconhecido
12. Local File Download
Exploit Revslider em ação.
LFD = Local File Download, explicar o que é, o que acontece no código.
● http://wordpress.local/wp-admin/admin-ajax.php?
action=revslider_show_image&img=/uploads/2015/06/wordpress-
camp.jpg
● http://wordpress.local/wp-admin/admin-ajax.php?
action=revslider_show_image&img=../wp-config.php
23. Dicas para sobrevivência
Durante desenvolvimento
● Siga os padrões de criação de temas e plugins do WordPress;
● Implemente testes unitários;
● Pratique "Par Programming";
● Pratique "Code Review";
● Pentest em ciclos evolutivos;
● Metodologia de desenvolvimento seguro;
24. Dicas para sobrevivência
WordPress
● Alteração do nome do usuário “admin” e senhas HARDCORE;
● Não instalar vários plugins de segurança;
● Antes de instalar pesquise sobre os plugins e temas;
● Modo Debug false;
● Manter o core, temas e plugins atualizados;
● Desabilitar a função de edição dos temas e plugins;
● Bloquear Brute force e visualização de pastas;
● Utilizar robots.txt ;
● Usar as constantes no wp-config:
WP_CONTENT_DIR, WP_PLUGIN_DIR, UPLOADS,
WP_AUTO_UPDATE_CORE, WP_HTTP_BLOCK_EXTERNAL
25. Dicas para sobrevivência
Infraestrutura e Segurança
● Prepração de infra;
● Uso de ferramentas de vulnerabilidades;
○ Use WpScan;
○ Use Accunetix;
○ Use Metaexploit;
● Alterar e bloquear o wp-admin/;
● Criar subdomínio para ambiente administrativo;