Herramienta de Fuerza Bruta XML-RPC para WordPress

Una herramienta diseñada para probar sitios WordPress en busca de vulnerabilidades XML-RPC mediante intentos de fuerza bruta de credenciales de usuario a través de la interfaz XML-RPC.

Descripción

Esta herramienta prueba instalaciones de WordPress para detectar vulnerabilidades de autenticación XML-RPC. Puede realizar ataques de fuerza bruta estándar o usar system.multicall para probar múltiples contraseñas en una sola solicitud, potencialmente evitando algunas protecciones de limitación de velocidad.

Características

• Comprueba si XML-RPC está habilitado en el sitio WordPress objetivo
• Prueba un solo usuario/contraseña o listas de credenciales
• Soporta system.multicall para un análisis más rápido y posible evasión de límites de velocidad
• Retardo configurable entre solicitudes
• Salida coloreada para mejor legibilidad

Instalación

git clone https://github.com/AnkhCorp/xmlrpc-brute.git
cd xmlrpc-brute
pip install -r requirements.txt

Uso

python3 xmlrpc-brute.py -t <target_url> -u <username> -P <password_list>

Opciones

Ejemplos

Probar un solo usuario con una lista de contraseñas:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P wordlist.txt

Probar múltiples usuarios con una lista de contraseñas usando multicall:

python3 xmlrpc-brute.py -t http://example.com/wordpress -U userlist.txt -P wordlist.txt -m

Probar con un retardo de 2 segundos entre solicitudes y limitar a 1000 contraseñas:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P rockyou.txt -d 2 --max-passwords 1000

Aviso Legal

Esta herramienta se proporciona únicamente con fines educativos y de prueba. Utilice esta herramienta solo en sistemas que posea o para los cuales tenga permiso explícito de prueba. El acceso no autorizado a sistemas informáticos es ilegal y poco ético.

Licencia

Este proyecto está licenciado bajo la Licencia MIT; consulte el archivo LICENSE para más detalles.