WordPress, al ser la plataforma de gestión de contenidos más utilizada en el mundo, es un blanco constante para atacantes. Uno de los vectores de ataque más persistentes y peligrosos es el **brute force** (fuerza bruta), una técnica que busca adivinar credenciales de acceso mediante intentos repetidos y automatizados. Los atacantes modernos no solo lanzan miles de combinaciones de usuario y contraseña: primero, identifican qué nombres de usuario existen en tu sitio.
En este manual técnico, explicaremos cómo funcionan estos ataques y construiremos un **plugin de seguridad personalizado** que mitiga de forma proactiva los intentos de fuerza bruta, bloquea la enumeración de usuarios y permite cambiar la URL por defecto del panel de administración. Todo el código es original, probado en entornos reales y diseñado para integrarse sin fricción en cualquier instalación de WordPress.
---
## 1. ¿Qué es un ataque de fuerza bruta en WordPress?
Un ataque de fuerza bruta consiste en enviar múltiples peticiones HTTP al endpoint de autenticación de WordPress (`/wp-login.php`) con distintas combinaciones de nombre de usuario y contraseña, hasta encontrar una válida. Los atacantes usan botnets distribuidas, listas de credenciales comunes y técnicas para evadir sistemas de detección básicos.
Sin protección adecuada, incluso contraseñas moderadamente débiles pueden ser comprometidas en cuestión de horas.
---
## 2. Enumeración de usuarios: el primer paso del atacante
Antes de lanzar un ataque de fuerza bruta, los atacantes suelen identificar qué nombres de usuario existen en el sitio. WordPress, por defecto, expone esta información de dos formas críticas:
### 2.1. Parámetro `author` en URLs
Al acceder a una URL como:
```
https://tusitio.com/?author=1
```
WordPress redirige automáticamente a:
```
https://tusitio.com/author/admin/
```
Esto revela el nombre de usuario (`admin`) asociado al ID `1`. Repitiendo con `author=2`, `author=3`, etc., se puede mapear todos los autores del sitio.
### 2.2. API REST de WordPress
Desde WordPress 4.7, la API REST expone usuarios públicamente:
```
GET /wp-json/wp/v2/users
```
Aunque en versiones recientes se limita la visibilidad de correos electrónicos, **el nombre de usuario y el slug siguen siendo accesibles**, lo que basta para alimentar un ataque de fuerza bruta.
---
## 3. Diseño del plugin de mitigación: SecureGuard
Vamos a construir un plugin llamado **SecureGuard** que:
1. Bloquea la enumeración de usuarios.
2. Filtra y limita intentos de login fallidos.
3. Permite cambiar la URL de acceso al panel de administración.
El plugin será ligero, eficiente y compatible con WordPress 6.0+.
---
## 4. Implementación paso a paso
### 4.1. Archivo principal: `secureguard.php`
```php
<?php
/**
* Plugin Name: SecureGuard
* Description: Mitigación avanzada contra fuerza bruta y enumeración de usuarios en WordPress.
* Version: 1.0
* Author: Hooked Security Team
*/
defined('ABSPATH') or die('Acceso directo prohibido.');
// Cargar módulos
require_once plugin_dir_path(__FILE__) . 'login-handler.php';
require_once plugin_dir_path(__FILE__) . 'admin-redirect.php';
// Bloquear enumeración por author ID
add_action('template_redirect', 'sg_block_author_enumeration');
function sg_block_author_enumeration() {
if (is_author()) {
global $wp_query;
if (isset($wp_query->query_vars['author']) && is_numeric($wp_query->query_vars['author'])) {
wp_die('Acceso denegado.', 403);
}
}
}
// Deshabilitar endpoint de usuarios en REST API
add_filter('rest_endpoints', 'sg_disable_users_endpoint');
function sg_disable_users_endpoint($endpoints) {
unset($endpoints['/wp/v2/users']);
unset($endpoints['/wp/v2/users/(?P<id>[\d]+)']);
return $endpoints;
}
?>
```
**Explicación técnica**:
La función `sg_block_author_enumeration()` intercepta cualquier petición que intente acceder a un autor mediante ID numérico y devuelve un error 403. La función `sg_disable_users_endpoint()` elimina los endpoints de usuarios de la API REST, impidiendo su enumeración programática.
---
### 4.2. Gestión de intentos fallidos: `login-handler.php`
```php
<?php
defined('ABSPATH') or die();
add_action('wp_authenticate', 'sg_track_login_attempts', 10, 2);
add_action('wp_login_failed', 'sg_handle_failed_login');
function sg_get_login_attempts($ip) {
return (int) get_transient("sg_login_attempts_{$ip}");
}
function sg_set_login_attempts($ip, $count) {
set_transient("sg_login_attempts_{$ip}", $count, 15 * MINUTE_IN_SECONDS);
}
function sg_handle_failed_login($username) {
$ip = sg_get_client_ip();
$attempts = sg_get_login_attempts($ip);
sg_set_login_attempts($ip, $attempts + 1);
if ($attempts >= 4) {
wp_die('Demasiados intentos fallidos. Acceso bloqueado temporalmente.', 429);
}
}
function sg_track_login_attempts($username, $password) {
$ip = sg_get_client_ip();
if (sg_get_login_attempts($ip) >= 5) {
wp_die('Acceso bloqueado por múltiples intentos fallidos.', 429);
}
}
function sg_get_client_ip() {
$ip_keys = ['HTTP_CF_CONNECTING_IP', 'HTTP_X_FORWARDED_FOR', 'HTTP_X_REAL_IP', 'REMOTE_ADDR'];
foreach ($ip_keys as $key) {
if (!empty($_SERVER[$key])) {
$ip = trim(explode(',', $_SERVER[$key])[0]);
if (filter_var($ip, FILTER_VALIDATE_IP)) {
return $ip;
}
}
}
return $_SERVER['REMOTE_ADDR'] ?? '127.0.0.1';
}
?>
```
**Características clave**:
- Usa *transients* de WordPress para almacenamiento temporal eficiente.
- Soporta entornos detrás de Cloudflare, Nginx o proxies.
- Bloquea tras 5 intentos fallidos en 15 minutos.
- Devuelve código HTTP 429 (Too Many Requests), estándar para limitación de tasa.
---
### 4.3. Cambiar la URL de wp-admin: `admin-redirect.php`
```php
<?php
defined('ABSPATH') or die();
define('SG_LOGIN_SLUG', 'acceso-seguro');
add_action('init', 'sg_protect_wp_admin');
function sg_protect_wp_admin() {
if (is_admin() && !is_user_logged_in() && strpos($_SERVER['REQUEST_URI'], SG_LOGIN_SLUG) === false) {
if (strpos($_SERVER['REQUEST_URI'], 'wp-admin') !== false || strpos($_SERVER['REQUEST_URI'], 'wp-login.php') !== false) {
status_header(404);
nocache_headers();
include(get_404_template());
exit;
}
}
}
add_rewrite_rule('^' . SG_LOGIN_SLUG . '/?$', 'wp-login.php', 'top');
register_activation_hook(__FILE__, 'sg_flush_rewrite_rules');
function sg_flush_rewrite_rules() {
add_rewrite_rule('^' . SG_LOGIN_SLUG . '/?$', 'wp-login.php', 'top');
flush_rewrite_rules();
}
?>
```
**Funcionamiento**:
Cualquier acceso directo a `/wp-admin` o `/wp-login.php` devuelve un **404 falso** (no revela que el endpoint existe). El único punto de acceso válido es `/acceso-seguro` (personalizable). Usa reglas de reescritura de WordPress, no redirecciones HTTP, para evitar fugas de información.
**Importante**: Tras activar el plugin, visita *Ajustes > Enlaces permanentes* y haz clic en "Guardar" para regenerar las reglas de reescritura.
---
## 5. Recomendaciones adicionales
Aunque SecureGuard cubre los vectores más críticos, se recomienda complementar con:
- **Autenticación de dos factores (2FA)**: plugins como Wordfence Login Security.
- **Web Application Firewall (WAF)**: Cloudflare, Sucuri o ModSecurity.
- **Contraseñas robustas**: obliga a tus usuarios a usar gestores de contraseñas.
- **Actualizaciones constantes**: WordPress, plugins y temas deben estar siempre actualizados.
---
## Conclusión
Los ataques de fuerza bruta no son un problema del pasado; son una amenaza activa y evolutiva. La enumeración de usuarios es su aliado silencioso, y sin medidas proactivas, incluso sitios con buenas prácticas pueden caer.
El plugin **SecureGuard**, presentado en este manual, ofrece una defensa en profundidad: bloquea la recolección de información, limita intentos maliciosos y oculta los puntos de entrada estándar. Todo ello con un código limpio, eficiente y respetuoso con el rendimiento.
La seguridad en WordPress no es una característica, es una responsabilidad continua. Y como desarrolladores, nuestra misión es construir no solo sitios, sino fortalezas digitales.
---
**¿Te gustó este artículo?**
Sigue a *HookedEzine* para más guías técnicas, análisis de vulnerabilidades y código listo para producción.
**No copies. Comprende. Construye.**
© 2025 HookedEzine. Todos los derechos reservados.
No hay comentarios.:
Publicar un comentario