EMPEZANDO CON WORDPRESS - Hacking y Seguridad...

1 http://www.wordpressa.quantika14.com || QuantiKa14 || [email protected]

EMPEZANDO

CON

WORDPRESS

Juan Martín Sánchez Rodríguez

QuantiKa14

Índice:


0. Autor

1. ¿Qué es WordPress?

1.1. ¿Qué es un sistema de gestor de contenido o CMS?

1.2. Plugins.

2. ¿Quién, cuándo y por qué hizo WordPress?

3. ¿Por qué se llama WordPress?

4. Instalación de WordPress.

4.1. Instalación de plugins de WordPress.

4.2. Instalación de plantillas de WordPress.

5. Proyecto de WordPressa!


1. Autor

¿Quién es Juan Martín?

Juan Martín soy yo, un joven de Sevilla.

Siempre me ha gustado la informática y me ha propiciado interés, pero la verdad es que

hasta que no entre el ciclo formativo no me involucre realmente en este mundo. Me hice con

el título de Técnico de Sistemas Microinformáticos y Redes, hice las prácticas en MP

Sistemas, hace unos 3 años, y debo decir que durante ese tiempo aprendí bastante.

Soy una persona en la que creo que se puede confiar, me gusta hacer las cosas bien, y

procuro hacerlas bien. Si me comprometo, cumplo, y si no se algo, busco la forma de

aprender ese algo.

¿Cómo podemos encontrarte?

Se puede contactar con migo a partir de mi correo electrónico:

[email protected]; o desde Facebook, el cual es mi nombre completo,

Juan Martín Sánchez Rodríguez.


2. ¿Qué es WordPress?

WordPress es un gestor de contenidos basado en la creación de blog o bitácoras web. WordPress se divide en dos servicios, uno es wordpress.com y el otro es wordpress.org.

WordPress.com es un servicio enfocado a la creación de blog, que permite un alojamiento gratuito o de pago ofrecido por Automattic, empresa desarrolladora de WordPress, permitiéndote hospedar tu blog en sus servidores.

En un principio el hospedaje es gratuito, aunque se puede pagar por uno si es preciso. En el caso de usar el servicio gratuito el dominio seria wordpress.com y nuestro blog un subdominio de este, de este modo nuestro blog sería del tipo miblogpersonal.wordpress.com. En el caso en que decidamos pagar por un hospedaje, se nos ofrece un dominio propio ajeno al de wordpress, siendo ahora este del tipo miblogpersonal.com

Ventajas: Desventajas:

Fácil e intuitivo de usar. Para tener dominio propio se ha de pagar.

A excepción del dominio propio el servicio es gratuito.

El mantenimiento y muchos comportamientos están bajo el control de Automattic.

Wordpress.com está alojado en una estructura de 1.200 servidores dedicados, de los cuales 230 están excluidos para la base de datos; lo que hace improbable la caída del servicio.

No se puede modificar el código PHP.

No se pueden instalar plugins. Aunque en el caso de tener un wordpress.com empresa, tienes a disposición algunos plugins adicionales.

La instalación de las plantillas es limitada.


Wordpress.org es una aplicación que se ha de instalar en un host y se ha de enlazar con una base de datos. Este segundo servicio es más completo, tanto que no solo permite la creación de un blog, sino que Wordpress.org ha evolucionado de tal modo que permite crear páginas corporativas, tiendas virtuales, y mucho más.

Ventajas: Desventajas:

Puedes instalar y configurar los plugins que desees.

Se necesita un host donde alojar wordpress, que por lo general cuesta dinero.

Si conoces de PHP puedes hacer cambios en el código o contratar el servicio.

Aunque escasos, pero se necesitan conocimientos para poder instalarlo.

Puedes instalar las plantillas que desees o precises.

Es uno mismo el responsable de las actualizaciones de plantillas y plugins.

WordPress es uno de los gestores de contenidos (CMS) más conocidos, se enfoca en la creación blogs. El fácil manejo de su panel de administración permite crear webs modernas y de gran utilidad. Su desarrollo se basa en PHP y MySQL. Una de las grandes ventajas, es su código modificable y la inserción de mejoras o extras al sitio web.

WordPress es una herramienta de bloggins fácil de instalar, fácil de modificar y conforme y adecuado con los estándares web.

Gracias a todas estas ventajas y facilidades que wordpress le permite al usuario el número de descargas es enorme, hoy día supera los 70 millones.

Este número que se ve a continuación, es una recopilación realizada por WordPrress sobre las descargar de la aplicación. Se puede ver en la página http://es.wordpress.com/stats/. Esta estadística es para los blog alojados en WordPress, tanto en subdominio como en dominio.


1.1. ¿Qué un sistema de gestor de contenidos o CMS?

Un sistema de gestor de contenidos es una aplicación que permite la creación y administración de contenidos, principalmente en páginas web.

Los sistemas de gestores de contenidos necesitan conectarse con una o varias bases de datos donde guardar los datos del sitio web.

En los CMS es posible crear diferentes roles como administrador, editor, usuarios, y más. Los usuarios tienen diferentes prioridades, por ejemplo en un centro educativo se puede tener usuarios tipo alumno y usuarios tipo profesor, de manera que ambos tipo de usuarios puedan subir material educativo como actividades o apuntes, pero solo los del tipo profesor puede corregir o eliminar dichos archivos y/o documentos.

Los sistemas de gestores de contenidos como herramienta son muy versátiles, con ellos se pueden crear proyectos web desde cero o bien utilizar estructuras ya predefinidas. Las de estos servicios son diferentes dependiendo de la utilidad de los gestores de contenidos. Según su finalidad, los CMS se catalogan de la siguiente manera:

Gestores de contenidos generales: Quizás los más conocidos sean Joomla y Drupal. Están orientados a web dinámicas y portales de contenidos, poseen herramientas de nivel general por lo que pueden emplearse para casi cualquier cosa.

Gestores de contenidos para blog: Permiten el desarrollo de bitácoras de forma sencilla. Los principales CMS para blog son Blogger (este es un servicio de Google, permite crear bitácoras en línea en el cual no es necesario modificar o escribir código ni tampoco instalar programas de servidor de scripting) y WordPress, es difícil de encasillar, debido a su gran utilización aparte de webs personales, como webs corporativas, e-commerce, foros…

Gestores de contenidos para cursos y entornos educativos: Con estos se pueden


crear material multimedia, aulas, cursos, exámenes, módulos para evaluar las actividades, etc. En este tipo de CMS la diversidad de roles es más amplia, permitiendo crear usuarios de diferentes tipo, como profesor, alumno, visitante, administrador... Moodle es el más usado, de software libre y empleado en entidades públicas y oficiales.

Gestores de contenidos para Wikis: Estos son idóneos para trabajos colaborativos o participativos. La mayoría son fáciles de reconocer por el nombre, por ejemplo: TiddlyWiki, WikkaWiki, MediaWiki o DokuWiki.

Gestores de contenidos para tiendas on-line: Están diseñados para permitir la compra on-line y tener elementos de un sitio e-commerce, con bases de datos para los productos o catálogos, etc. Prestahop es uno de los más usados, perfecto para principiantes y/o pequeños comercios que quieran tener un sitio en Internet. Otro también muy conocido es OsCommerce.


Existen CMS tanto de código abierto como por ejemplo Moodle o Joomla; como también los hay de software propietario como por ejemplo lo es osCommerce.

Estas aplicaciones son una forma fácil y segura de generar contenidos con un formato predefinido, útil y acorde con los estándares web.

1.2. Plugins

Un plugin es una pequeña aplicación que se añade al sistema, generalmente aportan funciones muy específicas.

Podemos incluir plugins en navegadores web, reproductores de audio o vídeo, o en gestores de contenidos.

-Plugins esenciales para nuestro blog personal en wordpress:

Jetpacck (http://jetpack.me/): Es un plugin que incluye otros plugins, hasta ahora estos plugins han estado separado. Los plugins que incluyen se pueden activar o desactivar, ya que son módulos independientes; y son los siguientes:

o Estadísticas de WordPress.

o After the Deadline, el corrector ortográfico de wordpress.com.

o LaTeX, el gestor de escritura matemática.

o ShareDaddy, el plugin usando en wordpress.com para añadir iconos con los que compartir tus entradas en las redes sociales.

o Hovercards de Gravatar, para mostrar las tarjetas inteligentes de Gravatar al colocar el cursor el gravatar de un usuario.

o Widget de Twitter.

o Shortcodes, para añadir de manera sencilla contenido incrustado.

o Enlaces cortos, con los que compartir tus entradas mediante enlaces a wp.me.

JetPack seguirá creciendo, ira aumentando la cantidad de utilidades e irán mejorando su utilización.

All in One seo pack: es un plugin para optimizar automáticamente su blog para los motores de búsqueda como Google.

Wp súper cache: Este plugin genera páginas estáticas en html a partir de las páginas dinámicas que genera WordPress, estas páginas dinámicas generadas son guardadas en tu servidor para disminuir hasta en un 80% la carga del servidor.

Google XML Sitemaps: Este plugin genera automáticamente un mapa de sitio para que Google indexe mejor tu sitio.

Akismet: Incluido en WordPress, Akismet es una de las maneras más efectivas de bloquear el spam en los comentarios, sin necesidad de implementar utilidades como el captcha.

Contact Form 7: Es un plugins gratuito para formularios y sondeo. Es un plugin muy completo, que da mucho juego, y el cual para algunos es el mejor plugin de este tipo.

NextGen Gallery Plugin: Proporciona un poderoso motor para subir y gestionar

http://jetpack.me/


galerías de imágenes. Viene con una amplia gama de opciones para controlar el tamaño, el estilo, las transiciones, efectos, y más.

Fast Secure Contact Form: Ofrece diferentes opciones a la hora de generar formularios, permite que los lectores o visitantes puedan mandar correos electrónicos. Es fácil de editar y de modificar. Bloque los spam automáticamente.

2. ¿Quién, cuándo y por qué hizo WordPress?

Esta aplicación es obra de Matt Mullenweg y Mike Littel, que crearon a partir del código de otro CMS, así surge WordPress. Estos se unieron en enero de 2003, viendo WordPress la luz por primera vez el 27 de mayo de 2003.

Matt Mullenweg el iniciador de WordPress creo esta herramienta bajo la idea de democratizar la publicación y el acercamiento a una audiencia más amplia. Poner al alcance de todo el mundo la posibilidad de publicar on-line lo que más apreciamos.

WordPress, está diseñado a partir del código del b2/cafelog. Otro CMS que surgió antes que WordPress.

-b2/cafelog:

El b2/cafelog es un servicio dedicado a blog, escrito en PHP y respaldado por MySQL. A partir la versión 0.6.2 paso a llamarse b2evolution, en 2003.

Desde la versión 5, b2evolution no se centra solo en la creación de blogs, ya que se convierte en un CMS integral, preparado también para la gestión comunitaria y funciones de marketing en línea. Tiene capacidad multi-blog, además es compatible con administradores y usuarios en una sola instalación sin necesidad de plugins externos

La última versión, la 5.0.4, se publicó el 28 de junio de 2013.

3. ¿Por qué se llama WordPress?

El desarrollador principal Matt Mullenweg tenía en mente con este proyecto, hacer accesible la comunicación o el publicar en Internet al mayor número posible de personas.

Matt, eligió el nombre por su sugerencia de su amiga Chrisitne Selleck, probablemente con la intención de querer plasmar esa idea en este título de la aplicación.

4. Instalación de WordPress

WordPress es una plataforma gratuita y libre, y está dentro de los estándares web. En este apartado se explican los pasos para poder instalar en local la aplicación wordpress.org.

Lo primero y antes de empezar a instalar wordpress.org, es descargar el archivo desde la dirección web wordpress.org o bien desde es.wordpress.org.

Se puede descargar el archivo de instalación desde cualquier navegador, no hay problemas con ninguno en particular.

La versión que se muestra en la siguiente imagen es la versión 3.6.1 y la fecha actual es 18/10/2013.


Podemos encontrar una gran variedad de documentación sobre la instalación de wordpress pero voy a intentar ser ameno y sencillo para que cualquier persona sin conocimientos técnicos pueda hacerlo.

WordPress se puede instalar tanto en local como en su servicio de hosting contratado a parte. Los pasos para la instalación son los mismos, salvo que en el caso de que no sea local, habrá que subir el archivo al servidor correspondiente, mediante, por ejemplo, FTP.

Los pasos para instalar wordpress.org son los siguientes:

1. Instalar xampp: Con la instalación de xampp instalaremos el gestor de bases de datos MySQL y el servidor Apache (ambos de software libre).

Hay que activar los servicios de Apache y de MySQL para proseguir con el proceso de instalación. He elegido hacer el ejemplo con Windows por el mayor uso de este sistema operativo por el conjunto de usuarios que lo utilizan. Pueden encontrar más información por ejemplo esta página http://www.mclibre.org/consultar/php/otros/in_php_instalacion.html

http://www.mclibre.org/consultar/php/otros/in_php_instalacion.html


2. Descomprimir el archivo que hemos descargado y guardarlo en c:/xamp/htdoc, crearemos aquí una carpeta con el nombre wordpress, donde colocaremos el archivo descargado. En él se incluyen todos los documentos de configuración, los plugins, las plantillas por defecto, etc.

3. Lo siguiente es generar una base de datos para wordpress, para crear la base de datos entramos en localhost/phpmyadmin/. Pincharemos en el apartado “bases de datos”. Hay especificamos el nombre de la nueva base de datos, por ejemplo, wordpress; en cotejamiento elegimos utf8_general_ci; y lo último darle a “crear”.

4. Enlazar WordPress con la base de datos es el siguiente paso. Lo que hay que hacer es, en la carpeta de wordpress abrir el archivo llamado wp-config-sample-php, nombrarlo como wp-config.php y completar o escribir los datos relevantes a la base de datos, tales como la contraseña, el nombre de la base de datos, etc. Este es el paso previo a la instalación de wordpress.org

5. La instalación. En la barra de navegación del navegador escribimos localhost/wordpress, y aparecerá la ventana relativa al proceso de instalación. Escribimos el nombre del sitio e indicamos un usuario y una contraseña.


6. Esta es la pantalla final que indica que WordPress se instaló correctamente. A partir de aquí podemos empezar a configurar y a crear nuestro blog.

4.1. Instalación de plugins de WordPress.

Los plugins pueden instalarse de dos maneras.

1. La primera manera sería en nuestro blog de WordePress, desde el panel de control o administrador del sitio (backend) en el navegador, ir a plugins > añadir nuevo. Aparece un buscador donde podrás escribir el nombre del plugin que te interese o necesites.


Una vez introducido el nombre del plugin, por ejemplo, OptionTree, aparece a continuación una página de resultados de la búsqueda donde se especifica la versión, la valoración, y una breve descripción; también se muestran plugins similares, bien por el nombre o por su función, junto con su valoración, versión y descripción.

Debajo del nombre del plugin aparecen dos letreros, uno, Detalles, para saber más acerca del plugin; y el otro, Instalar ahora, que sirve para dar comienzo a la instalación.

Antes de instalar, aparece un mensaje de confirmación.


Al pulsar Aceptar comienza la instalación. El plugin se descarga solo, y una vez descargado se descomprime y se instala todo de forma automática.

Una vez instalado hay que activarlo, la activación aparece justo debajo del proceso de instalación. Una vez termine el proceso de instalación, activamos el plugin, acto seguido aparece un mensaje en lo alto de la página de aviso, con el mensaje: El plugin ha sido activado.

Para la gestión del plugin o los plgins instalados, debemos dirigirnos en el menú de


navegación, Plugins > Plugins instalados.

2. El otro modo para instalar plugin en WordPress es de forma manual. Esta comienza con la descarga del plugins desde la página de WordePress, wordpress.org. Desde esta página podemos descargarnos el plugin o los plugins que necesitemos. Para ello, pincharemos en plugin, en el menú de navegación superior de la página; aparecerá un buscador y a continuación se lista una serie de ellos.

Buscamos el plugin de nuestro interés para poder descargarlo.

Una vez descargado el plugins hay que descomprimir el archivo. El archivo suele ser un fichero con extensión .php, dependiendo del plugin puede venir acompañado con otros archivos y carpetas.

La ruta de alojamiento para el plugin en nuestro equipo es c:\xampp\htdoc\wordpress\wp-content\plugins. La instalación se hace desde el panel de control de WordPress, a la izquierda en plugin > añadir nuevo > subir.

Seleccionas el archivo y pinchas en Instalar ahora. Se pueden subir archivos .zip o .rar directamente, sin necesidad de descomprimir el archivo previamente.


Se descomprime y se instala automáticamente, una vez acabada la instalación, activas el plugins y ya está listo para su uso.

En Plugins instalado en el panel de navegación podemos activar, desactivar o modificar los plugins instalados en WordPress.

4.2. Instalación de plantillas de WordPress.

Lo primero para instalar una plantilla es descargar la que deseemos instalar. Se pueden encontrar en el panel de control > apariencia > temas; o bien desde Internet, como páginas de ayuda de WordPress o en la página propia de WordPress.org.

Instalar plantillas es muy similar a instalar plugins, y al igual que los plugins, las plantillas también se pueden instalar de forma manual o automática.


1. Para instalar plantillas de forma automática, entramos en Administrador del sitio > Apariencia > Temas > Instalar temas.

Como anteriormente se mencionó, este proceso es muy similar al de instalar plugins. Pinchamos en subir, seleccionamos el archivo de la plantilla, pinchamos en Instalar ahora y la instalación se realizara de forma automática.

Una vez instalada la plantilla, lo siguiente es activar la plantilla para su uso. La activación de la plantilla se hace desde Administrar temas; en Administrar temas podemos activar, desactivar o borrar los temas o plantillas que tengamos instaladas.

2. El modo manual para instalar las plantillas es también muy similar a como instalar los plugins. Los primero es descargar la plantilla que vallamos a usar y descomprimir el archivo en el caso de que venga comprimido.


El archivo descomprimido hay que guardarlo en c:\xampp\htdocs\wordpress\wp-content. Luego en Administración del sitio > Apariencia > Temas > Administrar temas, podemos activar o desactivar las plantillas instaladas en nuestro sitio de WordPress.

Podemos encontrar plantillas de WordPress en wordpress.org/themes/.

De este modo se consigue una nueva apariencia en tu sitio de WordPress.


5. Proyecto WordPressa!

Wordpressa es un proyecto creado por QuantiKa14, en concreto por Jorge

Websec. En un principio consistía en crear un laboratorio de Wordpress

que facilitara las prácticas de técnicas de hacking y pentesting sobre este

gestor de contenidos.

Al cabo del tiempo, al ver la gran demanda de auditorías de seguridad con

Wordpress, Quantika14 decide crear un equipo especial dedicado al 100%

en él. Este realizara documentos, investigaciones de seguridad en plugins,

plantillas y en el propio núcleo de Wordpress, aparte de las pruebas de

intrusión y fortificación.

Wordpressa es un proyecto ambicioso y especial. Qk14 es la única empresa

a nivel nacional que tenga un departamento especializado en este gestor de

contenidos.

¿Quieres colaborar en Wordpressa?

Todos los trabajos en QK14 están retribuidos. Solo tienes que mandar un

correo con tu propuesta a [email protected] o

[email protected]

mailto:[email protected]

mailto:[email protected]

EMPEZANDO CON WORDPRESS - Hacking y Seguridad...

Documents

Transcript of EMPEZANDO CON WORDPRESS - Hacking y Seguridad...