Todos sabemos que Wordpress es por excelencia uno de los CMS mas utilizados a nivel mundial. Su gran aporte a las plataformas web ha sido de gran utilizados para los desarrolladores web. Su gran fama también ha traido consiguo una persistencia en vulnerarlo en múltiples ocasiones, recibiendo actualizaciones de manera muy constante. En esa ocasión trataré de presentar una herramienta la cual puede ser de gran utilidad al momento de querer realizar un análisis a fondo a un sitio web basado en Wordpress.
Plecost es una herramienta que se encargar de extraer información acerca de las versiones de plugins instalados en los sistemas de WordPress. Por otro lado tambien es capaz de analizar una sola dirección URL o realizar un análisis basado en los resultados indexados por el buscador Google.
Por otro lado nos brinda información acerca de los CVE asociados con cada determinado plugin, Esta herramienta nace por la preocupación con respecto a la precaria configuración de las instalaciones de Wordpress, mas aún de los plugins añadidos al sistema sin una restricción previa.
Descargar Plecost : https://github.com/iniqua/plecost
Instalación directa :
Primero es necesario instalar el paquete pip, lo cual se hace con los siguientes líneas de comandos. Para este ejemplo voy a instalar Plecost en Ubuntu 14.04 LTS.
jalil@ubuntu:~$ sudo su
[sudo] password for jalil:
root@ubuntu:/home/jalil# apt-get -y install python3-pip
Nota : Plecost3 funciona solo en python3.
Instalar pip en cualquier distribución Linux.
jalil@ubuntu:~$ sudo su
[sudo] password for jalil:
root@ubuntu:/home/jalil# sudo apt-get install curl
root@ubuntu:/home/jalil# curl https://bootstrap.pypa.io/get-pip.py | sudo python3
root@ubuntu:/home/jalil# sudo pip3 install MODULE_NAME
Finalmente vamos a ejecutar en nuestra terminarl Plecost.
jalil@ubuntu:~$ plecost
Para poder disponer de las actualizaciones es necesario digitar los siguientes comandos. Todo esto con el fin de poder disponer de las nuevas vulnerabilidades que hay en la plataforma wordpress.
jalil@ubuntu:~$ sudo su
[sudo] password for jalil:
root@ubuntu:/home/jalil# plecost --update-cve
root@ubuntu:/home/jalil# plecost --update-plugins
A continuación vamos a observar los plugins que se han agregado con las nuevas vulnerabilidades conocidas.
jalil@ubuntu:$ plecost -nb --show-plugins
En la imagen podemos los primeros resultados de Plecost, los cuales nos muestran que la versión de wordpress que se encuentra en dicho sitio web se encuentra con muchas vulnerabilidades CVE.
De la misma forma podemos solicitar información mas detallada acerca de cada CVE.
jalil@ubuntu:~$ plecost -nb --cve CVE-XXXX-XXXX
Finalmente podemos utilizar los wordlist de los plugins con el fin de saber si dichos plugin se encuentran en su ultima versión.
jalil@ubuntu:~$ plecost -nb -w plugin_list_1000.txt http://dflahertylaw.com/
En la imagen podemos observar que 3 plugin no se encuentran debidamente actualizados, esto puede ser un grave problema de seguridad si se llegara a explotar dicha vulnerabilidad respectivamente en cada uno de ellos.
Bueno hemos llegado al final del post, espero que haya sido de su agrado y también sea de utilidad al momento de querer realizar algunas pruebas de seguridad en sitios wordpress. Bueno me despido y será hasta la próxima.
