Как найти админку на сайте

Что такое админ-панель сайта и как туда попасть

Админ-панель для сайта позволяет управлять настройками проекта, добавлять новые страницы и удалять старые, изменять внешнее оформление ресурса и редактировать контент. В зависимости от используемой CMS способ доступа к админке сайта различается. Рассмотрим, как зайти в админ-панель WordPress, Joomla и OpenCart.

Как найти админ-панель сайта

Админ-панель есть у всех сайтов с CMS — системой управления контентом . Такая система позволяет с легкостью создавать сайт и наполнять его материалами любого формата без навыков программирования.

Что почитать о CMS:

Если сайт сделан не с помощью CMS, а разработан программистами с нуля, то его редактирование потребует изучения HTML, CSS, PHP и других языков программирования. В некоторых случаях разработчики также создают адаптированную под нужды проекта CMS для облегчения работы с сайтом, тогда способ входа в админку определяется разработчиками, например, клик по логотипу.

Чтобы попасть в админку сайта с CMS, необходимо действовать по следующему алгоритму:

1. Определить CMS ресурса.
2. Открыть форму авторизации.
3. Ввести логин и пароль.
4. Зайти в админ-панель.

Определяют CMS ресурса как с помощью специальных онлайн-сервисов, так и вручную. Нередко найти сведения о CMS можно в подвале сайта либо в HTML-коде. Этот сайт сделан в WordPress:

Если в подвале информация о CMS не отображается, просмотрим HTML-код главной страницы сайта. Для этого нажмем правой кнопкой мыши и выберем «Просмотр кода страницы»:

Из анализа кода видно, что используется система Joomla!:

Также информацию о CMS получают с помощью онлайн-сервисов, например, инструмента BuiltWith. Просто введите домен интересующего вас сайта на главной, и получите уйму статистики по ресурсу. В том числе и об используемых CMS.

Вход в админ-панель WordPress

WordPress — самая популярная система управления контентом в мире, с помощью которой к 2022 году создано около 18 миллионов сайтов. Ежемесячно более 400 миллионов пользователей посещают сайты на WordPress. Изначально CMS позиционировалась как система для блогов, однако сейчас ее активно используют и для интернет-магазинов.

Чтобы войти в админку WordPress, введем в адресной строке браузера название домена с дополнением /wp-login.php либо /wp-admin, например:

https://site.net/wp-login.php/,
https://site.net/wp-admin/

В окне авторизации введем email и пароль, затем нажмем «Войти»:

После этого будет доступна админка WordPress, в которой отображается меню и последние опубликованные материалы:

Возможные проблемы при входе в админку WordPress

1. Забытые данные для авторизации

Если пароль от сайта утерян, нужно на странице авторизации выбрать «Забыли пароль?»:

После этого введем логин или email, нажмем «Получить новый пароль», чтобы система отправила письмо на указанную электронную почту:

2. Ограниченный доступ

Могут быть установлены ограничения доступа к админ-панели сайта, например, внесен список определенных IP-адресов, с которых можно зайти в админку. В этом случае при попытке авторизации отобразится 403 ошибка: «You don’t have permission to access /wp-login.php on this server».

При подобной ошибке необходимо откорректировать файл .htaccess, расположенный в основном каталоге сайта на хостинге:

После этого нужно проверить, нет ли в файле такого фрагмента кода:<Files wp-login.php>.

Если код есть, то доступ будет запрещен с любых IP-адресов. Необходимо удалить данные строчки кода и доступ к админке будет восстановлен. Второй вариант — открыть доступ к админ-панели со всех адресов либо только с собственного IP-адреса. Для доступа с любого IP введем в конце файла указанные строчки:

Для доступа с определенного IP добавим такой код, указав вместо your_IP свой IP-адрес:

Перемещенная страница авторизации

В целях безопасности административную панель часто переносят на другой адрес, благодаря чему усложняется процесс взлома сайта. Чтобы поменять адрес админ-панели WordPress, используют плагины, которые позволяют установить произвольный адрес для авторизации. Его необходимо запомнить, чтобы в дальнейшем использовать для доступа к админке.

Вход в админ панель Joomla

Joomla занимает второе место по использованию во всем мире в рейтинге CMS, на данный момент на ней функционирует 2,5 миллиона сайтов. Чтобы попасть в админку Joomla, необходимо добавить к домену сайта /administrator/, например: http://vjoomla.ru/administrator/

Далее необходимо ввести логин, пароль и нажать «Войти»:

Бывают и проблемы при входе в админку Joomla.

1. Забытые данные для авторизации

Если вы забыли пароль, необходимо ввести в адресную строку браузера домен сайта и добавить к нему /index.php?option=com_user&view=reset, например: http://vjoomla.ru/index.php?option=com_user&view=reset

Затем введите email, указанный при регистрации, пройдите проверку на спам и нажмите «Отправить»:

2. Нет доступа в админку при правильном вводе логина и пароля

Такая проблем может быть вызвана сохранением конфигурационного файла configuration.php в формате UTF-8, в котором добавляется запись BOM из трех символов. Эти три лишних символа воспринимаются CMS как ошибка, вследствие чего сбрасывается авторизация. Чтобы исправить подобную ошибку, необходимо скачать в панели управления сайта на хостинге файл configuration.php и пересохранить его с помощью редактора Notepad++, выбрав «Кодировать в UTF без BOM» в меню «Кодировки». После этого снова добавьте файл в исходный каталог.

Вход в админ-панель OpenCart

OpenCart — достаточно популярная CMS для создания интернет-магазинов. На август 2019 года на ней функционирует почти 400 тысяч сайтов. Чтобы попасть в административную панель OpenCart, добавим к домену сайта /admin, например: http://shop.epageview.com/admin/

В форме авторизации нужно ввести логин и пароль, затем нажать «Войти»:

После этого откроется админ-панель, в которой доступно редактирование сайта, а также просмотр статистики по заказам и покупателям:

О чем стоит помнить при входе в админку OpenCart?

1. Забытые данные для авторизации

Если утерян или забыт пароль от админки, нажмите на странице авторизации кнопку «Забыли пароль?»:

После этого укажите регистрационный e-mail и нажмите «Сброс», чтобы получить письмо для обновления пароля:

2. Отсутствует доступ в админку после смены хостинг-провайдера

При переносе сайта на другой хостинг иногда возникает проблема, связанная с использованием устаревшего драйвера mysql данным провайдером. В этом случае отредактируйте файлы config.php в корневом каталоге и папке admin:

Поменяйте в них указанную строку кода: define(‘DB_DRIVER’, ‘mysqli’), заменив название драйвера mysqli на mysql:

Запомнить

1. Чтобы попасть в админку сайта, необходимо определить, какая именно CMS используется на проекте. Для этой цели подойдет ручной анализ сайта и его HTML-кода, а также онлайн-сервисы.
2. Доступ в странице авторизации осуществляется с помощью добавления в адресной строке браузера к домену сайта определенных слов — admin, wp-login.php, administrator и прочее.
3. При утрате логина и пароля их лекго восстановить, указав адрес электронного ящика, который был добавлен в аккаунт при создании проекта.
4. При попытках входа в админку CMS иногда возникают проблемы, связанные с ограниченным доступом только с указанных IP, изменением адреса страницы авторизации, ошибками в конфигурационных файлах. Эти ошибки исправляют с помощью редактирования файлов .htaccess и configuration.php (config.php) на хостинг-провайдере.

Закончил факультет кибернетики. Работал интернет-маркетологом. Не по наслышке знаком с SEO, PPC, таргетингом, ремаркетингом и продвижением сайтов — в течение нескольких лет практиковал на фрилансе. В портфолио есть успешные кейсы. Пробовал создать собственное агентство, но прогорел и решил поменять сферу деятельности. Далеко из профессии не ушел — использовал свои знания и опыт в копирайтинге. С 2016 года работаю редактором и автором текстов в Netpeak Journal.

Как найти админку сайта

Не существует 100% способа поиска админки сайта, но есть несколько способов которые могут помочь. В этой статье рассмотрим способы поиска админки сайта, с помощью сканеров, Google Dorks, и файла robots.file.

Как найти админку сайта

Админка сайта (веб-приложения) — система управления, которую используются администраторами и редакторами он-лайн ресурсов, для добавления новых страниц, публикаций, загрузки изображений, изменения темы и т. д.

Для доступа к панели администратора сайта необходима:

• Учетная запись администратора (имя пользователя и пароль).
• Адрес страницы авторизации, например www.xyz.com/admin.php.

В некоторых случаях, в целях безопасности, администраторы скрывают страницу авторизации сайта. Стандартная страница сайта WordPress вместо wp-admin, может называться совсем по другому.

Стандартный адрес админ панели сайта

Самый просто способ — угадывание возможных путей или имен файлов часто используемых движками CMS и самописными сайтами. Разработчики могут использовать стандартный адрес и имя файла админки сайта, такие как admin, admin-panel, Administration, Control-panel, administrator и т. д.

Например, панель администратора для WordPress всегда находится по адресу wp — admin .

Этот способ не сработает если разработчик или сисадмин изменил стандартный адрес админки, на что-то вроде этого:

Теперь попробуем другой способ.

Поиск админки сайта с помощью фаззинга

Сканирование / фаззинг — это процесс извлечения всех URL-адресов и каталогов сайте. Существует множество инструментов для сканирования сайта. Среди популярных — Dirb, Dirbuster, FFUF.

На скрине ниже видно, как Dirbuster нашел все адреса и каталоги сайта. Более подробно про Dirbuster, в статье «Установка и использование DirBuster»

Фаззинг с помощью Dirbuster

Почти тоже самое можно сделать с помощью FFUF (аббревиатура от «Fuzz Fast You Fool!»). Более подробно про FFUF, в статье «Примеры использования FFuF». В отличие от первого инструмента, этот работает в терминале Linux и написан на Go.

Фаззинг админки сайта с FFUF

Как показано выше, FFUF успешно нашел админку сайта.

Поиск админки сайта с Google Dorks

Как мы все знаем, Google регулярно сканирует сайты и сохраняет о них информацию. Используя Google Dorks, мы можем найти админку сайта. На изображении ниже мы использовали Гугл Дорки, такие как site: com, чтобы указать целевой домен, заканчивающийся на .com, и адрес admin, чтобы найти панель администратора всех сайтов в сети.

HackWare.ru

Этичный хакинг и тестирование на проникновение, информационная безопасность

Поиск админок (панелей управления) на сайтах

Адрес административной панели нужно знать для ввода в неё добытых учётных данных. Также замечено, что «внутренним» узлам веб-сайтов, которые не предназначены для широкого круга посетителей, некоторые программисты уделяют меньше внимания, там может обнаружиться, например, уязвимость SQL-инъекция.

Поиск административных панелей – это несложная задача, этим можно заниматься вводя в адресную строку браузера различные предполагаемые пути до страницы входа в панель. Имеется достаточно много разнообразных утилит, позволяющих автоматизировать и ускорить этот процесс. Рассмотрим программы для поиска страниц входа в административные панели (панели управления).

Поиск административных панелей из jSQL Injection

Если вы предпочитаете кроссплатформенную программу с графическим интерфейсом, то для поиска входа в панели управления можно воспользоваться jSQL Injection. Программа имеет инструмент, который называется «Поиск административной папки», он расположен на соответствующей вкладке программы:

В программу уже загружен достаточно большой список адресов страниц, по которым чаще всего располагаются админки. Вы можете отредактировать этот список: добавить новые значения или загрузить их из файла.

Для начала процесса введите адрес сайта, выделите желаемые или все значения в списке и нажмите кнопку «Поиск админки».

В целом программа показывает себя не очень хорошо, поскольку не позволяет менять настройку пользовательского агента (User-Agent). Из-за этого многие веб-серверы отбрасывают её попытки соединения.

DIRB — это сканер веб-контента. Он ищет существующие (возможно, скрытые) веб-объекты. В основе его работы лежит поиск по словарю, он формирует запросы к веб-серверу и анализирует ответ.

В качестве словаря можно воспользоваться этим. Это словарь возможных адресов страниц, через которые может осуществляться вход в панель управления. Он собран из нескольких источников: список из jSQL Injection, а также из программы DW Admin and Login Finder v1.1.

Команда для скачивания словаря прямо из консоли:

Рекомендуется использовать опцию -a <строка_агента> — с помощью неё вы можете задать ваш пользовательский USER_AGENT.

• dirb – исполнимый файл программы
• http://www.iso27000.ru/ адрес для тестирования
• Admin_and_Login_Finder_jsql-injection.txt – файл словаря
• -a 'Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36' – отправляемый пользовательский агент

Описание опций DIRB на странице https://kali.tools/?p=108

Gobuster

Gobuster — это инструмент для брут-форса:

• URI (директорий и файлов) в веб-сайтах.
• DNS субдоменов (с поддержкой подстановочных символов).

Нас интересует брут-форс (перебор) директорий и файлов.

• gobuster – исполнимый файл программы
• -e – означает расширенный режим, печатает полные URL
• -u http://www.iso27000.ru/ – сайт для поиска админок
• -w Admin_and_Login_Finder_jsql-injection.txt – файл словаря
• -a 'Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36' – заданный вручную пользовательский агент

Описание опций и примеры использования Gobuster: https://kali.tools/?p=2850

Cangibrina

Cangibrina — это мультиплатформенный инструмент, который предназначен для получения панелей управления (администрирования) сайтов используя брут-форс (перебор) по словарю, google, nmap и robots.txt.

Программа имеет встроенную опцию для работы через Tor. Также важно то, что с помощью опции —user-agent вы можете изменить пользовательский агент (user-agent) – имя, которым программа сканирования представляется веб-сайту. Рассматриваемые в этой заметке программы могут иметь проблемы со сканированием, если сайт находится за файловым менеджером. Притвориться другой программой, обычно браузером, это очень полезная функция.

Ещё программа умеет делать поиск по субдоменам. Чтобы вместо поиска по директориям программа начала искать админки в субдоменах, используйте опцию —sub-domain.

Примеры запуска программы вы найдёте на странице https://kali.tools/?p=3020.

adfind

adfind – это довольно простой поисковик панелей администрирования.

При запуске программы нужно указать адрес сайта и предполагаемый язык, на котором написан исходный код сайта (PHP, ASP и др.).

Подробности и процесс установки программы на странице https://kali.tools/?p=3027

Admin Page Finder

Admin Page Finder — это скрипт на Python, который ищет на заданном сайте возможные адреса административных интерфейсов перебирая большое количество вариантов.

Как и предыдущая, это очень простая утилита без дополнительных функций.

Установка и описание работы Admin Page Finder: https://kali.tools/?p=3034

Поиск панелей управления с patator

patator является самой гибкой, и, следовательно, и самой сложной из рассматриваемых программ.

У patator есть модуль http_fuzz, который может использоваться для брут-форса учётных данных, брут-форса адресов, субдоменов. Соответственно, им можно искать и админки. Нам нужен словарь возможных адресов админок, загрузим его:

Пример команды patator для поиска панелей управления методом перебора по словарю:

• ./patator.py – файл скрипта
• http_fuzz – модуль для использования
• url=http://www.iso27000.ru/FILE0 – адрес сайта, на котором ищем админки, вместо FILE0 будут подставляться значения из словаря
• 0=./Admin_and_Login_Finder_jsql-injection.txt – путь до словаря, 0= означает, что строки из этого словаря будут подставляться вместо заполнителя, обозначенного чуть выше как FILE0, а ./Admin_and_Login_Finder_jsql-injection.txt, это название файла со списком адресов страниц, файл расположен в текущей директории
• -x ignore:code=404 -x ignore,retry:code=500 – означает не выводить (игнорировать) результаты, если страница вернула код 404 (страница отсутствует), также не выводить записи и пробовать снова для страниц с ошибкой 500
• header='User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/57.0.2987.133 Safari/537.36' – отправлять заголовок с пользовательским агентом. Обязательно используйте эту возможность, иначе на большинстве сайтов вас ждёт неудача в сканировании на наличие админок.

Свой собственный скрипт для поиска админок

С учётом простоты задачи легко набросать свой собственный скрипт для этой цели.

Создайте файл fiad.sh и скопируйте в него:

В той же директории, что и скрипт, должен лежать словарь:

Можете поменять словарь на свой собственный в строке:

Где вместо URL должен быть указан сайт с протоколом (HTTP или HTTPS) и без конечного слэша, например, https://example.com)."

Пример работы скрипта:

Заключение

При подготовке материала я тестировал все программы с произвольными веб-сайтами. Все программы можно разделить на те, которые позволяют устанавливать свой собственный User-Agent и те, которые не позволяют это сделать. Я обратил внимание, что у всех, кто не позволяет изменить User-Agent, возникают проблемы с большинством попробованных веб-сайтов. Судя по всему, дело в файловых файерволах, разнообразных системах предотвращения вторжений и т.п. Чуть лучший результат показала программа Cangibrina с опцией —user-agent. После этой опции нельзя указать желаемое значение, она только меняет передаваемый пользовательский агент на «chrome» — это позволяет обмануть совсем простые файловые файерволы.

Лучше всего себя показали программы DIRB, gobuster и patator. При этом в них нужно устанавливать User-Agent.

Кроме описанных инструментов, практически каждая программа для анализа веб-приложений и комплексный сканер (например, Burp Suite, zaproxy и многие другие) позволяют искать страницы по словарю. Можно применять и полный перебор (например, с помощью DirBuster) – результаты будут более полными, но процесс может занять значительно больше времени.

Определяем CMS сайта и восстанавливаем доступы в админку

Если у вас нет доступа к вашему сайту в административную часть, восстановить его не составит проблем если имеется известен логин или email администратора.

Для начала определим на какой системе управления (CMS) собран сайт:

Заходим по адресу вашсайт.ru/robots.txt

В этом файле содержатся инструкции для роботов по индексации (обходу страниц) сайта.

Не всегда, но довольно часто папки с админкой закрыты от индексации, поэтому ищем в файле соответствующие записи:

для WordPress:

Эта запись закрывает от индексации вход в админку WordPress по url адресу вашсайт.ru/wp-admin/

Для 1С-Битрикс:

Эта запись закрывает от индексации вход в админку 1С-Битрикс по url адресу вашсайт.ru/bitrix/

Эта запись закрывает от индексации вход в админку Joomla по url адресу вашсайт.ru/administrator/

Эта запись закрывает от индексации вход в админку Modx по url адресу вашсайт.ru/manager/

Для ocStore:

Эта запись закрывает от индексации вход в админку ocStore по url адресу вашсайт.ru/admin/

Далее переходим на страницу входа в админку. Например, для 1С-Битрикс: вашсайт.ru/bitrix/, ищем ссылку «Забыли свой пароль» и зная логин или адрес электронной почты админа восстанавливаем пароль, инструкции по восстановлению придут на соответствующий email.

Не у каждой CMS восстановление доступа так прозрачно. Например, для Joomla войти для восстановления доступов необходимо по ссылке:

вашсайт.ru/index.php?option=com_users&view=login

Если в robots.txt не удалось найти запись скрытия админки от индексации, можно вручную вводить адреса админок в строку браузера, если это не помогло смотрим код сайта, для этого необходимо находясь на странице сайта нажать комбинацию клавиш CTRL + U (для Windows) и далее просмотреть код на предмет названий или ссылок на админку, эти ссылки могут быть внешними – например, на сайт конструктора:

Восстановление доступа к сайту через phpMyAdmin

В случае если email или логин админа не известен, потребуется доступ к хостингу или к панели хостинга. Необходимо войти в приложение phpMyAdmin, логин и пароль от phpMyAdmin можно узнать либо в кабинете хостинга, либо взять логин и пароль для Базы Данных MySQL из конфигурационного файла в папке с сайтом. Например, для WordPress это wp-config.php, для Joomla configuration.php, для 1С-Битрикс /bitrix/ php_interface/dpconn.php

В этом файле нужно найти строки, содержащие логин и пароль к Базе Данных (БД):

или для 1С-Битрикс:

После входа в phpMyAdmin находим нужную таблицу, содержащую данные пользователей учитывая префикс БД (если он менялся):

wp_users – для WordPress

b_user – для 1С-Битрикс

prefix_user – для Joomla

Редактируем запись пользователя, а именно ячейку Password. Новый пароль нужно указывать не в явном виде, а в закодированном с помощью алгоритма MD5.

MD5 — это 128 битный алгоритм хеширования, который был разработан в 1991 году проф. Рональдом Л. Ривестом.

Ищем любой сайт в поисковой системе по запросу «MD5 онлайн», вводим свой пароль в явном виде и получаем его зашифрованный вариант для размещения в таблице БД.