wpbiff 0.1.1

支持的插件

WPBiff 能够暴力破解受以下两因素身份验证插件保护的 Wordpress 登录页面：

• Henrik Schack 的Google 身份验证器

• Julien Liabeuf 的WP Google Authenticator

要求

此实用程序在 Python 2.6 和 2.7 上运行

先决条件

第一个要求是您必须拥有/wp-admin上 Wordpress 仪表板的登录用户名和密码。可以通过网络钓鱼、密钥记录或密码重用来获取凭据。

其次，你必须能够控制目标服务器的内部时钟。我建议Delorean将服务器时间固定到某个点。您必须在 Delorean 中使用-d标志固定任意日期，并在 WPBiff 中并行使用相同的时间戳。

有关远程时钟篡改的更多信息，请参阅此博客条目（即将推出）。

选项

以下部分解释了 WPBiff 的基本用法。您也可以随时使用-h开关来获得帮助。

-d, --date DATE

固定日期（格式：“YYYY-MM-DD hh:mm”）[必填]

-u, --username USER

Wordpress 用户名 [必填]

-p, --password PASS

Wordpress 密码 [必填]

-a, --user-agent

HTTP 用户代理标头（默认：Firefox）

-t, --token TOKEN

令牌初始值（默认：000000）

-m, --max-token TOKEN

最大令牌值（默认值：999999）

使用--plugin开关在为目标提供双重身份验证的 Wordpress 插件类型之间进行选择。为 Google Authenticator选择ga，为WP Google Authenticator选择wpga。

例子

假设 NTP 流量可以在您的目标和上游 NTP 服务器之间被拦截。通过篡改此流量，您可以将目标的时钟“固定”到某个时间和日期。

启动Delorean NTP 服务器以提供固定的时间和日期

$ ./delorean.py -d "2015-10-30 11:22"

将 NTP 流量从您的目标重定向到假 NTP 服务器。

最后启动 WPBiff 如下

$ wpbiff -u admin -p admin -d "2015-10-30 11:22" --plugin ga "http://www.example.com"

此会话将使用登录用户名 admin和密码admin在www.example.com上暴力破解 Wordpress 。

该过程完成后，WPBiff 会转储有效令牌和会话 cookie 以访问 Wordpress 仪表板。

综合测试结果

其中WPBiff 1、2和3在所有可能的 6 位令牌组合中覆盖不同的范围

ubuntu@wpbiff1:~$ wpbiff -t 000000 -m 333333 ...

ubuntu@wpbiff2:~$ wpbiff -t 333334 -m 666666 ...

ubuntu@wpbiff3:~$ wpbiff -t 666667 -m 999999 ...