Depuis le terminal, à l’aide de WPscan, il est possible de retourner la liste des utilisateurs WordPress sans y être identifié au préalable.
WPscan est une puissante application écrite en Ruby qui permet de passer en revue les failles de sécurités des sites WordPress.
Parmis ces nombreuses fonctionnalités, il est possible d’afficher la liste des utilisateurs WordPress à l’aide de la commande ci-dessous:
[bash]
# Enumére les utilisateur de l’ID 1 à 10
ruby wpscan.rb –url https://formation-wp.com –enumerate u
# Enumére les utilisateur de l’ID 10 à 50
ruby wpscan.rb –url https://formation-wp.com –enumerate u[10-50] [/bash]
Le résulatats est retourner sous la forme d’un tableau.
[bash]
+—-+———-+——————+
| Id | Login | Name |
+—-+———-+——————+
| 1 | user1 | User1 Test |
| 2 | user2 | User2 Test |
+—-+———-+——————+
[/bash]
Dans le champs Login figure les identifiants necessaires pour se connecter à l’admin de WordPress.
Dans le champs Name figure le nom qui est affiché publiquement sur le site (dans les billets de blog notamment).
Autant pour le champs Name, WPScan fait bien le distinguo entre les majuscules et les minuscules autant pour le champs Login il ne le fait pas. Autrement-dit, user1 et user2 pourraient très en contenir des majuscules sans qu’on puisse savoir où elles se trouvent.
Quant on sais que les pirates informatiques adorent entrer par la grande porte, cela peut avoir un avantage lors de tentatives d’ataque de type brut-force. En mixant la case dans vos identifiants et en utilisant des mots de passe fort, les pirates ne sont pas prêts d’entrer par là.
Encore faut-il que le champs Name ne trahissent pas la case. En effet, lors de la creation d’un nouvel utilisateur, WordPress demande de créér un identifiant (soit Login). Identifiant, qui sera repris comme nom public (soit Name).
Pour remédier à ce probème, il suffit de se connecter à l’admin de WordPress avec le nouvel identifiant, puis d’allez dans Utilisateurs -> Tous les utilisateurs -> modifier de changer le champs Pseudonyme (obligatoire) par autre chose puis de le séléctionner dans Nom à afficher publiquement.
