Realmente acojonante…

Para empezar decir que tanto la instalación de WordPress como el programa en sí son algo sospechosos.

Lo que quiero decir con esto es que yo también puedo hacer un programa que simule que estoy atacando a una instalación de WordPress, simplemente que haga que parezca que lo estoy haciendo, de hecho ya he echo varios programas similares, no simulando un ataque a WordPress pero si para otros menesteres.

Como prueba de ello es que en el vídeo se conecta a una IP privada (la de la red interna de su casa, me imagino que tendrá una instalación de WordPress local) y además no se ve que acceda a ningún directorio ni nada relacionado con WordPress, simplemente se limita a poner “http://192.168.1.109/wordpress” y por arte de magia le salen todos los usuarios de la base de datos (desconozco de que forma lo hace para que sin poner casi nada el programa lo haga sólito, dudoso cuanto menos).

También decir que las contraseñas son de lo más débiles, similares al ya típico ”1234″. Además de que los ataques de fuerza bruta, que es método que emplea, se pueden hacer contra cualquier cosa o programa, no solo con WordPress. Contra estos ataques la única solución que hay es el tener contraseñas fuertes y seguras, simple y llanamente. O eso o, ya que se trata como en este caso de una aplicación web como lo es WordPress, limitar el número de intentos de acceso (o logins) a nuestro blog. Un buen plugin para esto último sería Login LockDown.

De todas formas he visto en el blog del usuario que hace el ataque que en un futuro liberará el código del programa, será cuestión de examinarlo para poder confirmar si realmente puede hacer lo que muestra en el video.

Con esto no digo que lo que hace sea mentira, simplemente lo pongo en duda.

En definitiva, yo me preocuparía más por prevenir inyecciones SQL o ataques XSS, por ejemplo, que de defenderme de esto ya que los ataques por fuerza bruta son de sobra conocidos y hay mil formas de prevenirlos.

Saludos!!!

Coincido con los comentarios anteriores en cuanto a que parece muy dudoso que el vídeo este mostrando realmente un script de ataque. Como ya han comentado se hace sobre una IP de la máquina local, con lo que el script podría estar configurado seguramente para acceder al MySQL de la propia instalación.

Y desde está también el tema, como dicen, de que lo que muestra el vídeo no es un ataque de fuerza bruta como dice Fernando sino de diccionario y de que las contraseñas usadas son de lo más simples (y algunas típicas como el “letmein”), de ahí que estén en el diccionario. Con contraseñas alfanuméricas y alternando mayúsculas y minúsculas, este tipo de ataque no tendría ningún éxito.Vamos, que suena bastante a pufo

La verdad Fernando, sin ánimo de ofender, este otro de esos artículos innecesariamente alarmistas que de vez en cuando nos regalas

Sin ánimo de menospreciar a Fernando que ha sido en ocaciones mi bilblia wordpress en español, decir que aunque tan solo ver el fondo rojo y el rolito de ‘miedito’ que tiene el video automáticamente me puse en duda, más allá del supuesto ataque.

Personalmente a este post le hubiera dado otro giro para, si tengo dudas al respecto o tengo sorpresa sobre el video, compartir, aprender e intercambiar info, desde luego Fernando lleva tiempo haciendo una gran labor, pero como humanos que somos no tenemos la verdad absoluta y podemos tener alguna equivocación.

Fernando sigue adelante, me gusta tu labor informativa.

Por cierto, creo que Fernando ha echo bien en informarnos sobre esto. Yo, si no hubiera sido por él no me hubiera enterado de esto y no podríamos ahora estar debatiendo qué nos parece el “supuesto” ataque.

Verdad es que este tipo de entradas a veces puede ser un tanto alarmistas pero en mi opinión Fernando solo la publicó para informarnos y ha echo bien en exponerlo y compartirlo con los demás para también poder verlo y examinarlo, además de para ponernos en alerta, ya que aunque este ataque fuera falso hay muchas y variadas maneras de atacar un blog y siempre tenemos que estar en alerta.

En definitiva, no entiendo tanta critica hacia Fernando. Prefiero estar informado de todo antes de que se suprima información solo por el echo de que a alguien le parezca irrelevante o, como en este caso, alarmista.

Saludos!!!