5个WordPress漏洞扫描程序

5dseo博客文章中,我们一直在撰写有关OSINT工具的文章,以及当您运行自己的DNS服务器时如何防止DNS攻击,今天我们专注于WordPress安全性。

当我们谈论安全性时,我们谈论服务,其中很多都是公共网站。

根据最新的W3Techs 报告,截至2018年7月,31%的现有网站使用WordPress。好多啊。

最新的Sucuri黑客入侵网站报告显示,2017年的WordPress感染率从2016年第三季度的74%上升至2017年的83% – 这一点并不好。毫无疑问,它是受攻击最多的CMS平台之一。

WordPress易于使用,具有快速学习曲线,几乎任何人都可以安装,无需任何编程或技术技能。但是,如果你不知道如何保证它的安全,它可能会成为你最糟糕的噩梦。

那么,您如何测试Wordpress安装是否安全?继续阅读。

最流行的Wordpress漏洞扫描程序

网站所有者往往倾向于安装Wordpress,选择主题,配置所需的插件,但完全忘记加强Wordpress,其中包括更新WP核心,主题和插件等。

您的Wordpress安装是否真的可以抵御外部攻击?如何在当前的Wordpress网站中找到漏洞和弱点?

让我们通过探索最好的Wordpress漏洞扫描程序来回答这些问题,以便找到并解决当今WordPress网站中的任何安全漏洞。

WPScan

WPScan是Wordpress最好的漏洞扫描程序之一,它的工作方式类似于终端的魅力,您可以在其中运行针对WP安装的远程漏洞测试。

使用WPScan,您可以分析当前WordPress网站的安全性:

  • 检测WP核心中的已知漏洞,以及主题和插件
  • 检测是否有注册用户使用弱密码
  • 检查整体WP安全配置
  • 进行强力穿透试验
  • WordPress版本枚举(来自生成器元标记)
  • 完整的服务器头扫描
  • 杂项WordPress检查,例如使用的目录,主题名称,自定义目录等。

此WP安全工具通过使用wpvulndb.com数据库来使漏洞数据库保持最新。它还为开发人员提供了一个非常扩展的文档,以改进针对Wordpress安装的安全扫描。

安装WPScan

注意:WPScan预安装在最流行的基于渗透和安全的Linux发行版上,如Kali Linux,BackBox Linux,Pentoo和BlackArch。

让我们首先解决最流行的Linux发行版所需的依赖项。

Ubuntu要求:

sudo apt-get install libcurl4-openssl-dev libxml2 libxml2-dev libxslt1-dev ruby-dev build-essential libgmp-dev zlib1g-dev

Debian要求:

sudo apt-get install gcc git ruby ruby-dev libcurl4-openssl-dev make zlib1g-dev

Fedora要求:

sudo dnf install gcc ruby-devel libxml2 libxml2-devel libxslt libxslt-devel libcurl-devel patch rpm-build

让我们克隆WPScan GitHub repo,然后在我们的测试框中安装应用程序,使用以下命令:

git clone https://github.com/wpscanteam/wpscan.git  
cd wpscan  
sudo gem install bundler && bundle install --without test

让我们看看它是否安装好了。运行此命令,它应显示WPScan横幅和版本:

ruby wpscan.rb --version

[research@securitytrails wpscan]# ruby wpscan.rb --version
_______________________________________________________________
        __          _______   _____                  
        \ \        / /  __ \ / ____|                 
         \ \  /\  / /| |__) | (___   ___  __ _ _ __ ®
          \ \/  \/ / |  ___/ \___ \ / __|/ _` | '_ \ 
           \  /\  /  | |     ____) | (__| (_| | | | |
            \/  \/   |_|    |_____/ \___|\__,_|_| |_|

        WordPress Security Scanner by the WPScan Team 
                       Version 2.9.5-dev
          Sponsored by Sucuri - https://sucuri.net
      @_WPScan_, @ethicalhack3r, @erwan_lr, @_FireFart_
_______________________________________________________________

Current version: 2.9.5-dev
[research@securitytrails wpscan]# 

如果你看到了,那就安装好了。现在让我们看看你可以使用的最流行的参数:

--update                            Update the database to the latest version.  
--url       | -u        The WordPress URL/domain to scan.  
--force     | -f                    Forces WPScan to not check if the remote site is running WordPress.  

有关参数的完整列表,请尝试:

ruby wpscan.rb --help

针对Wordpress运行我们的第一个WPScan

现在您已经安装并运行了WPScan,让我们从有趣的东西开始吧。

首先,让我们更新WPScan漏洞数据库:

ruby wpscan.rb --update

现在,启动第一次扫描:

ruby wpscan.rb --url yourwordpress.com

将“yourwordpress.com”替换为您网站的网址。

你应该得到这样的东西:

[i] The remote host tried to redirect to: https://wpsecuritytesting.com/
[?] Do you want follow the redirection ? [Y]es [N]o [A]bort, default: [N] >Y
[+] URL: https://www.wpsecuritytesting.com/
[+] Started: Fri Jul 13 15:26:24 2018
[+] Interesting header: CONTENT-SECURITY-POLICY: default-src https: data: 'unsafe-inline' 'unsafe-eval'
[+] Interesting header: EXPECT-CT: max-age=604800, report-uri="https://report-uri.cloudflare.com/cdn-cgi/beacon/expect-ct"
[+] Interesting header: LINK: <https://www.wpsecuritytesting.com/wp-json/>; rel="https://api.w.org/"
[+] Interesting header: SERVER: cloudflare
[+] Interesting header: STRICT-TRANSPORT-SECURITY: max-age=15724800; includeSubdomains; preload
[+] Interesting header: X-CONTENT-TYPE-OPTIONS: nosniff
[+] Interesting header: X-FRAME-OPTIONS: DENY
[+] Interesting header: X-XSS-PROTECTION: 1; mode=block
[+] This site has 'Must Use Plugins' (http://codex.wordpress.org/Must_Use_Plugins)
[+] XML-RPC Interface available under: https://www.wpsecuritytesting.com/xmlrpc.php [HTTP 405]
[+] API exposed: https://www.wpsecuritytesting.com/wp-json/ [HTTP 200]
[!] 1 user exposed via API: https://www.wpsecuritytesting.com/wp-json/wp/v2/users
+----+----------------+---------------------------------------------------------+
| ID | Name | URL |
+----+----------------+---------------------------------------------------------+
| 1 | John Smith | https://www.wpsecuritytesting.com/author/johnsmith/ |
+----+----------------+---------------------------------------------------------+
[+] Found an RSS Feed: https://www.wpsecuritytesting.com/feed/ [HTTP 200]
[!] Detected 1 user from RSS feed:
+----------------+
| Name |
+----------------+
| John Smith |
+----------------+

[+] Enumerating WordPress version ...

[+] WordPress version 4.9.7 (Released on 2018-07-05) identified from meta generator, links opml

[+] WordPress theme in use: mts_clear - v1.30

[+] Name: mts_clear - v1.30
| Latest version: 1.29 (up to date)
| Last updated: 2018-02-22T00:00:00.000Z
| Location: https://www.wpsecuritytesting.com/wp-content/themes/mts_clear/
| Readme: https://www.wpsecuritytesting.com/wp-content/themes/mts_clear/readme.txt
| Style URL: https://www.wpsecuritytesting.com/wp-content/themes/mts_clear/style.css
| Theme Name: mts_clear
| Theme URI: https://www.competethemes.com/mts_clear/
| Description: mts_clear is designed for publishers who want readers. That's why mts_clear is fast, responsive, access...
| mts_clear: Compete Themes
| mts_clear URI: https://www.competethemes.com

[+] Enumerating plugins from passive detection ...
| 3 plugins found:

[+] Name: easy-social-share-buttons3
| Location: https://www.wpsecuritytesting.com/wp-content/plugins/easy-social-share-buttons3/

[+] Name: fancy-lightbox - v1.0.0
| Latest version: 1.0.0 (up to date)
| Last updated: 2016-08-20T23:26:00.000Z
| Location: https://www.wpsecuritytesting.com/wp-content/plugins/fancy-lightbox/
| Readme: https://www.wpsecuritytesting.com/wp-content/plugins/fancy-lightbox/readme.txt

[+] Name: wp-to-twitter - v3.3.6
| Latest version: 3.3.6 (up to date)
| Last updated: 2018-05-21T16:32:00.000Z
| Location: https://www.wpsecuritytesting.com/wp-content/plugins/wp-to-twitter/
| Readme: https://www.wpsecuritytesting.com/wp-content/plugins/wp-to-twitter/readme.txt
| Changelog: https://www.wpsecuritytesting.com/wp-content/plugins/wp-to-twitter/changelog.txt

[+] Finished: Fri Jul 13 15:30:52 2018
[+] Elapsed time: 00:04:28
[+] Requests made: 401
[+] Memory used: 111.953 MB
[root@securitytrails wpscan]#

如您所见,扫描能够检测WP用户名,插件版本,主题名称和版本以及WP核心版本,并检测您是否正在运行最新版本。

您可以使用的其他常用命令行参数是使用单词列表的强力测试,如下所示:

使用25个线程对枚举用户进行暴力破解 – 将“mylist.lst”替换为您自己的单词列表。

ruby wpscan.rb --url www.example.com --wordlist mylist.lst --threads 25

相同的例子,但只针对“admin”用户名:

ruby wpscan.rb --url www.example.com --wordlist mylist.lst --username admin

您可以使用WPScan运行的测试数量非常多,请继续阅读其他阅读Github上README文件中的联机文档,或运行–help选项。

苏库里

Sucuri是Wordpress的领先反恶意软件服务之一,它们在几年前变得非常受欢迎,现在该服务是Godaddy的一部分。

它们为Wordpress提供免费安全扫描,可让您检查WP安装,以检测任何类型的问题,如恶意软件感染,黑名单,过时的软件或一般网站错误。

如何使用Sucuri测试您的网站?

  • 转到sitecheck.sucuri.net上的免费测试页面
  • 输入您的网站网址。
  • 探索结果。

如果您的网站不容易受到攻击,您应该看到类似这样的输出:

3. WP SCANS

WPScans,最后带有“S”,与WPScan不同。这是两种不同的扫描仪。

WPScans是扫描您的WP安装以防止已知漏洞的另一个很好的替代方案。

它允许您针对WP核心,主题和插件运行完整的安全性分析,检查其+ 6k漏洞数据库,并立即向您报告所有结果。

对于注册用户,他们还允许您每天或每月设置自动扫描,以便跟踪所有WP网站的安全状态。

它们还提供完整的高级报告和解决方案,因此您不仅可以检测,还可以了解如何解决WP安装中发现的所有安全问题。

我该怎么测试呢?

只需浏览wpscans.com即可快速检查并了解您的WP是否易受攻击。

如果您的网站没问题,结果将如下所示:

或者,如果它检测到任何问题,如下所示:

单击“显示/隐藏在您的网站上找到的Wordpress核心漏洞的完整列表”链接,以获取有关WP安装中发现的漏洞的完整详细信息。你应该看到这样的东西:

4. Pentest-Tools WP扫描仪

Pentest-Tools WordPress漏洞扫描是分析所有WordPress安装的安全性的另一个很好的替代工具。

该实用程序在后台使用WPScan执行多个远程测试以进行识别

WordPress安全漏洞和弱点,模拟针对基于WP的网站的第三方攻击。

在他们的扫描中,Pentest-Tools包括:

  • WP核心,主题和插件版本扫描。
  • 显示此区域中的漏洞。
  • 插件枚举。
  • WordPress用户检测。
  • 以PDF格式下载结果。

我该如何扫描我的网站?

  • 转到Pentest Tools WP测试页面
  • 购买一些积分来运行扫描。
  • 结果应该是这样的:

如您所见,您将找到每个漏洞的完整详细信息,它如何影响您的网站以及修复它的步骤。毫无疑问,WPScan是一个非常酷的GUI界面,它是这个工具背后的核心扫描仪。

5. FirstSiteGuide WP扫描仪

此扫描仪是Wordpress最好的免费在线安全扫描仪之一。它执行大量安全检查以确定您的WP安装是否易受攻击。

进行主要检查:

  • WP版本检测。
  • 检查是否可以通过HTTP访问readme.html install.php upgrade.php。
  • 检查HTTP标头以确定您的服务器是否显示敏感信息。
  • 试图获取Wordpress用户名的完整列表。
  • 检查WP管理员是通过HTTPS还是HTTP提供服务。
  • 检查索引HTTP指令是否已启用并允许可浏览目录。
  • 确定页眉中是否存在EditURI链接。

测试您的网站很简单:

  • 转到测试页面
  • 输入您的Wordpress URL。
  • 分析结果

如您所见,此工具将以红色突出显示WP安装中的弱点。现在您需要做的就是开始加强Wordpress安装。

结论

不时使用此工具将帮助您检测并采取正确的步骤,以防止WordPress恶意软件感染,SQL注入,后门安装,偷渡式下载以及恶意重定向到外部站点。

但请记住,您的网站安全性并未在您的应用程序安全层中结束,恶意攻击者可能会发现其他方式侵入您的网站和服务器。