对WordPress网站进行渗透测试 – 详解

对WordPress网站进行渗透测试 - 详解

WordPress是一个专注于PHP和MySQL的免费在线开源内容托管系统。这是一个功能强大且使用最多的博客工具。

由于WordPress使用过程中出现了太多的错误,所以需要提高安全性。WordPress渗透测试对于发现漏洞并保护您的WordPress博客非常重要。

安全研究人员丹尼尔·西德说,在2016年,至少有15769个甚至更多的WordPress网站已经被入侵。

根据Sucuri报告可知,几乎78%的受感染网站建立在WordPress平台上。

使用WPScan进行WordPress渗透测试

WPscan是由Ryan Dewhurst创建的WordPress漏洞扫描器,由Sucuri赞助。它预装了BackBox Linux、Kali Linux、Pentoo、SamuraiWTF、BlackArch,并且不支持Windows。

使用Wpscan我们可以扫描主题、插件、用户、HTTP代理和Wpscan不会检查页面的源代码。

扫描WordPress版本、主题和插件

wpscan -url http://tutorials.gbhackers.com/test/ -enumerate p

wpscan -url http://tutorials.gbhackers.com/test/ -enumerate t

扫描WordPress用户

wpscan -url http://tutorials.gbhackers.com/test/ -enumerate u

发起暴力破解攻击

wpscan -url http://tutorials.gbhackers.com/test/ -wordlist /root/Desktop/password.txt -username kcwto

列举timthumbs

如果在一个非常严重的漏洞之后你仍在使用TimThumb,你更应该关注。

wpscan -url http://tutorials.gbhackers.com/test/ -enumerate tt

将输出存储在单独的文件中

wpscan -url http://tutorials.gbhackers.com/test/ -debug-output 2> debug.log

渗透测试是一门艺术,主动分析取决于安全研究人员,在这里我们仅仅评估了一些需要在WordPress驱动的网站上进行的基本和重要的检查。

原创文章,作者:M0tto1n,如若转载,请注明出处:http://www.mottoin.com/tech/108185.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code