Ferramenta de Força Bruta WordPress XML-RPC

Uma ferramenta projetada para testar sites WordPress em busca de vulnerabilidades XML-RPC, tentando forçar credenciais de usuário através da interface XML-RPC.

Descrição

Esta ferramenta testa instalações WordPress em busca de vulnerabilidades de autenticação XML-RPC. Ela pode realizar ataques de força bruta padrão ou usar system.multicall para testar múltiplas senhas em uma única requisição, potencialmente contornando algumas proteções de limitação de taxa.

Funcionalidades

• Verifica se o XML-RPC está habilitado no site WordPress alvo
• Testa um único nome de usuário/senha ou listas de credenciais
• Suporta system.multicall para testes mais rápidos e possível contorno de limitação de taxa
• Atraso configurável entre requisições
• Saída colorida para melhor legibilidade

Instalação

git clone https://github.com/AnkhCorp/xmlrpc-brute.git
cd xmlrpc-brute
pip install -r requirements.txt

Uso

python3 xmlrpc-brute.py -t <target_url> -u <username> -P <password_list>

Opções

Exemplos

Testar um único nome de usuário com uma lista de senhas:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P wordlist.txt

Testar múltiplos nomes de usuário com uma lista de senhas usando multicall:

python3 xmlrpc-brute.py -t http://example.com/wordpress -U userlist.txt -P wordlist.txt -m

Testar com um atraso de 2 segundos entre requisições e limite de 1000 senhas:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P rockyou.txt -d 2 --max-passwords 1000

Aviso Legal

Esta ferramenta é fornecida apenas para fins educacionais e de teste. Utilize esta ferramenta apenas em sistemas que você possui ou nos quais tenha permissão explícita para testar. O acesso não autorizado a sistemas de computador é ilegal e antiético.

Licença

Este projeto está licenciado sob a Licença MIT - veja o arquivo LICENSE para detalhes.