Existen diversas formas para realizar un bruteforce a Wordpress sin necesidad de utilizar el formulario de login. Imaginemos que el formulario de login esté deshabilitado o protegido o con captcha, todavía nos quedan otros recursos. 1) Atacar el wp-admin/admin-ajax.php 2) Atacar el xmlrpc.php De ésta forma es posible saltarse los mecanismos de seguridad como captchas o formularios deshabilitados u otros recursos. A continuación hago una breve revisión de una interesante herramienta que utilicé para dicha tarea. Esta herramienta se llama WPforce y se puede descargar desde la siguiente dirección: https://github.com/n00py/WPForce Su sintáxis es tan sencilla como hacer lo siguiente: python wpforce.py -i diccionario-de-usuarios.txt -w diccionario-de-claves.txt -u "http://www.victima.com" WPForce permite realizar ataques de fuerza bruta directamente hacia el API de wordpress mediante xmlrpc.php , entre otras cosas también permite subir una shel...
shock dude's blog