Инструмент для брутфорса XML-RPC WordPress

Инструмент для тестирования сайтов WordPress на уязвимости XML-RPC путем подбора учетных данных пользователей через интерфейс XML-RPC.

Описание

Этот инструмент проверяет установки WordPress на уязвимости аутентификации XML-RPC. Он может выполнять стандартные атаки перебором или использовать system.multicall для проверки нескольких паролей в одном запросе, потенциально обходя некоторые ограничения скорости.

Возможности

• Проверяет, включен ли XML-RPC на целевом сайте WordPress
• Тестирует одно имя пользователя/пароль или списки учетных данных
• Поддерживает system.multicall для более быстрого тестирования и возможного обхода ограничений скорости
• Настраиваемая задержка между запросами
• Цветной вывод для лучшей читаемости

Установка

git clone https://github.com/AnkhCorp/xmlrpc-brute.git
cd xmlrpc-brute
pip install -r requirements.txt

Использование

python3 xmlrpc-brute.py -t <target_url> -u <username> -P <password_list>

Параметры

Примеры

Проверка одного имени пользователя со списком паролей:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P wordlist.txt

Проверка нескольких имен пользователей со списком паролей с использованием multicall:

python3 xmlrpc-brute.py -t http://example.com/wordpress -U userlist.txt -P wordlist.txt -m

Проверка с задержкой в 2 секунды между запросами и ограничением в 1000 паролей:

python3 xmlrpc-brute.py -t http://example.com/wordpress -u admin -P rockyou.txt -d 2 --max-passwords 1000

Правовое предупреждение

Этот инструмент предоставляется только для образовательных и тестовых целей. Используйте этот инструмент только на системах, которые вам принадлежат или на тестирование которых у вас есть явное разрешение. Несанкционированный доступ к компьютерным системам незаконен и неэтичен.

Лицензия

Этот проект лицензирован по лицензии MIT - подробности см. в файле LICENSE.