您现在的位置是：首页 > 教程 > WordPress教程WordPress教程
WordPress安全检测工具分享
云羿谆2025-03-29 15:06:10WordPress教程已有3人查阅
导读Wordpres是一款非常流行cms系统，市面上有相当一部分的博客和站点都是使用wordpress搭建。正因为大多博客都使用wordpress，所以其安全性就显得尤为重要。我们平时维护一个站点
Wordpres是一款非常流行cms系统，市面上有相当一部分的博客和站点都是使用wordpress搭建。正因为大多博客都使用wordpress，所以其安全性就显得尤为重要。
我们平时维护一个站点(不仅仅是wordpress站点)、保证其安全需要从服务器软件更新、浏览器、病毒、口令是否强壮、是否有后门等多方面入手，这种检查必须是非常频繁和及时的。同时，wordpress软件本身又很多漏洞，有时候一个0day漏洞的出现会让你措手不及。
在这篇文章里，我们会讨论到一些wordpress安全工具。
工具是把双刃剑，请不要使用安全工具进行违法和不正当行为。
Plecost WordPress Fingerprinting Tool:
Plecost是一款非常棒的wordpress安全检测工具，你可以在backtrack、backbox和blackubuntu中找到它。Plecost包含一个较全面的插件数据库并能检查出wordpress是否存在CVE发布的漏洞。
Plecost可以在两种模式下运行，一种是通过一个特定URL作为目标，一种是通过google搜索多个结果。我们这里举例的模式是前者，即一个特定的url。
上图我们可以看到plecost的选项以及简单的使用说明。
接下来我们使用
root@bt:/pentest/web/scanners/plecost# ./plecost-0.2.2-9-beta.py -i wp_plugin_list.txt -c http://127.0.0.1/wordpress 命令检查目标url并比对是否存在cve漏洞
可以很直观的看到结果，不少弱点暴 来了
WPScan - WordPress Security Scanner
WPSCAN是另外一款优秀的wordpress安全检测工具。它的功能包括：用户、插件枚举，列目录，插件漏洞检测和wordpress主题检查、文件发现。
列插件是最基本的功能，命令格式如下： 我们这对127.0.0.1/wordpress检查 很清楚的列出了结果
接下来，我们来看看如何爆破wordpress的用户名和口令
枚举用户名的命令如下 我们爆出了两个存在的用户名
然后我们尝试爆破密码，当然要导入字典，使用命令如下 其中，admin是我们刚刚爆出的存在的用户名。
当然，你也可以不指定用户名，直接输入命令 CMS-Explorer与上面两个工具功能大同小异，它是使用perl编写的。
我们依然对本地url做测试： CMS-Explorer会帮我们枚举列出插件
但我们如何确定目标url是否存在漏洞呢？
通过使用命令 通过比对OSVDB数据库，CMS-Explorer会列出目标url存在的漏洞: 不管是保护wordpress还是其他任何网页，.htaccess文件都是非常有用的。什么是.htaccess？
概述来说，htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。
我们下面会讲如何配置.htaccess保护wordpress：
首先，限制wp-admin文件夹被非管理员访问。 值得注意的是，你需要把.htaccess文件放在wp-damin目录下。
如果你想要阻止某个IP段访问（注意116.76.45.是一个IP段） 我们可以再增加一些脚本执行的限制
RemoveHandler cgi-script .cgi .php .py
AddType text/plain .cgi .php .py
我们平时维护一个站点(不仅仅是wordpress站点)、保证其安全需要从服务器软件更新、浏览器、病毒、口令是否强壮、是否有后门等多方面入手，这种检查必须是非常频繁和及时的。同时，wordpress软件本身又很多漏洞，有时候一个0day漏洞的出现会让你措手不及。
在这篇文章里，我们会讨论到一些wordpress安全工具。
工具是把双刃剑，请不要使用安全工具进行违法和不正当行为。
Plecost WordPress Fingerprinting Tool:
Plecost是一款非常棒的wordpress安全检测工具，你可以在backtrack、backbox和blackubuntu中找到它。Plecost包含一个较全面的插件数据库并能检查出wordpress是否存在CVE发布的漏洞。
Plecost可以在两种模式下运行，一种是通过一个特定URL作为目标，一种是通过google搜索多个结果。我们这里举例的模式是前者，即一个特定的url。
上图我们可以看到plecost的选项以及简单的使用说明。
接下来我们使用
root@bt:/pentest/web/scanners/plecost# ./plecost-0.2.2-9-beta.py -i wp_plugin_list.txt -c http://127.0.0.1/wordpress 命令检查目标url并比对是否存在cve漏洞
可以很直观的看到结果，不少弱点暴 来了
WPScan - WordPress Security Scanner
WPSCAN是另外一款优秀的wordpress安全检测工具。它的功能包括：用户、插件枚举，列目录，插件漏洞检测和wordpress主题检查、文件发现。
列插件是最基本的功能，命令格式如下： 我们这对127.0.0.1/wordpress检查 很清楚的列出了结果
接下来，我们来看看如何爆破wordpress的用户名和口令
枚举用户名的命令如下 我们爆出了两个存在的用户名
然后我们尝试爆破密码，当然要导入字典，使用命令如下 其中，admin是我们刚刚爆出的存在的用户名。
当然，你也可以不指定用户名，直接输入命令 CMS-Explorer与上面两个工具功能大同小异，它是使用perl编写的。
我们依然对本地url做测试： CMS-Explorer会帮我们枚举列出插件
但我们如何确定目标url是否存在漏洞呢？
通过使用命令 通过比对OSVDB数据库，CMS-Explorer会列出目标url存在的漏洞: 不管是保护wordpress还是其他任何网页，.htaccess文件都是非常有用的。什么是.htaccess？
概述来说，htaccess文件是Apache服务器中的一个配置文件，它负责相关目录下的网页配置。通过htaccess文件，可以帮我们实现：网页301重定向、自定义404错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。
我们下面会讲如何配置.htaccess保护wordpress：
首先，限制wp-admin文件夹被非管理员访问。 值得注意的是，你需要把.htaccess文件放在wp-damin目录下。
如果你想要阻止某个IP段访问（注意116.76.45.是一个IP段） 我们可以再增加一些脚本执行的限制
RemoveHandler cgi-script .cgi .php .py
AddType text/plain .cgi .php .py
本文标签：
很赞哦！ (0)
| 暂无内容 |
| 暂无内容 |
| 暂无内容 |
| 暂无内容 |
随机图文
WordPress博客Centos7+Apache2.4+php5.6+mysql5.5搭建Lamp环境
最近想搭建个人博客玩玩，挑来挑去发现口碑不错的博客程序是wordpress，简称wp。虽然是学java路线的程序员，但因入行时间太短，至今没有发现较为称手开源的博客程序，如果各位大神有
wordpress安装插件“wordpress发生意外错误，可能WordPress.org
安装wordpress插件，提示报错“wordpress发生意外错误，可能WordPress.org或服务器配置文件存在问题”出问题的页面是查看/wp-admin/update.php这个文件，处理action=install-plugin这个get请求的代码如下
WordPress为什么找不到.htaccess文件，修改WordPress的.htaccess
你在WordPress中找.htaccess文件有困难吗？经常有网友问“我的.htaccess文件在哪里?”，“为什么我不能在我的WordPress网站上找到它?”
wordpress 4.6以上版本任意命令执行漏洞的修复方法
漏洞简述当WordPress 使用 PHPMailer 组件向用户发送邮件。攻击者在找回密码时会使用PHPmailer发送重置密码的邮件,利用substr(字符串截取函数)、$run(系统调用函数)等构造
| 留言与评论 （共有 0 条评论） |
