WordPress Shell Atma

shell üstüne shell atanlar var hoplatirlar vallahi

o nasıl oluyo ya

ben sadece kendim wordpress sitesinden deniyeceğim shell atmayı nasıl öğrenebilirim sadece mantığını anlamak istiyorum

Dostum sana kısaca şunu açıklayayım. Shell atmak için WordPress sitesi üzerinde admin paneli bulmak ve sızdırmak iyi bir yöntemdir. Eğer admin paneli bulamazsan, şu adımları izleyebilirsin:


1.Site URL'sine"/wp-admin" ekleyerek direkt olarak admin paneline giriş yapmaya çalış. Eğer bu çalışmazsa,"wp-admin" veya"admin"gibi anahtar kelimelerle site içindeki sayfaları tara. Belki admin paneline bir bağlantı bulursun.
2. Eğer admin paneline giriş yapabildiysen, ilk olarak"admin"kullanıcı adını ve zayıf bir şifreyi dene. En çok kullanılan şifreler arasında"123456","password","admin","qwerty" gibi şifreler bulunur.

1. WordPress temalarını ve eklentilerini tara. Bazı temalar ve eklentiler, zayıf noktaları ve güvenlik açlıklarını içerebilir. Bunları bulup kullanarak admin paneline erişebilirsin.
2. SQL enjeksiyonu yöntemlerini kullan. WordPress, kullanıcı girişi ve diğer formlar aracılığıyla kullanıcı girdilerini doğrudan veritabanına kaydeder. Eğer bu formlar doğru şekilde güvenlik kontrolü yapmazlarsa, SQL enjeksiyonu saldırısı yaparak veritabanına erişebilirsin.

ÖĞRENEBİLECEĞİN YERLER:

WordPress Güvenlik Açıkları Üzerine Çalışmak​

• Yerel sunucuda (localhost) kendi WordPress siteni kur.
• Zafiyetli eski temalar veya eklentilerle güvenlik testleri yap.
• DVWA veya bWAPP gibi zafiyetli sistemleri kurarak deneme yap.

2.​

-->HackerOne, Bugcrowd, Synack gibi platformlarda kayıt olup yasal olarak açık arayabilirsin.
-->Açıkları bulduğunda hem ödül kazanırsın hem de adın etik hackerlar arasında anılır.

4.​

-->Kendi yaptığın siteleri ve uygulamaları hacklemeye çalış. Böylece hem savunmayı hem saldırıyı öğrenirsin.

"HACK-LAB" — Senin İçin Özel Eğitim Senaryosu​

-->Yerel Sunucuda WordPress kurulumu

• Zafiyetli eklentiler (örnek: RevSlider, File Manager, vb.)

-->Exploit pratiği (örnek: LFI, RCE, XSS, SQLi)

• Gerçek bir siteye değil, kendi makine veya VM'inde.

-->Admin panel tespiti ve shell yükleme (örnek backdoor upload senaryosu)

• Güvenli ortamda simülasyon.

-->index.html değiştirme (deface senaryosu)


Kali Linux üzerinden metasploit üzerinden FTP shell de atarak da yapabilirsin ve bunu da denemek için Metasploitable2' de kullanabilirsin. Bunun anlatımı için Exposive'nin çalışmasına bakabilirsin -->