Analisador de Vulnerabilidades e Superfície de Ataque CMS
Audite o seu WordPress, Drupal ou CMS headless contra enumeração de utilizadores na REST API, endpoint XML-RPC ativo e versão exposta.
Visão geral & importância
Sistemas de Gestão de Conteúdos (CMS) suportam mais de 70% da web, tornando-se o alvo primordial de ataques automatizados de botnets e intrusões.
Instalações não fortificadas expõem frequentemente as contas de utilizadores através da REST API (/wp-json/wp/v2/users), mantêm o protocolo XML-RPC ativo para ataques de força bruta e divulgam versões exatas em ficheiros de documentação.
Vetores críticos de ataque mitigados pela blindagem de CMS
Bloqueio de Enumeração de Utilizadores (REST API)
A REST API pública expõe os identificadores dos autores, concedendo aos atacantes metade das credenciais de acesso para ataques de força bruta.
Mitigação de Ataques de Força Bruta por XML-RPC
O ficheiro /xmlrpc.php permite que atacantes testem centenas de palavras-passe num único pedido HTTP via system.multicall.
Ocultação de Versão contra Vulnerabilidades Conhecidas
A divulgação da versão exata em meta tags generator e query strings de ficheiros permite que ferramentas automáticas identifiquem falhas não corrigidas.
Diretivas Nginx e Regras de WAF Cloudflare
Bloqueie o acesso público ao XML-RPC, enumeração de utilizadores e ficheiros readme de instalação:
location = /xmlrpc.php { deny all; return 403; }
location ~* ^/wp-json/wp/v2/users { deny all; return 403; }
location ~* /(readme\.html|license\.txt) { deny all; return 404; }