Ikoula Wiki - Contributions de l’utilisateur [fr]

WPScan - scanner de vulnerabilite pour WordPress

2016-08-11T11:33:26Z

Ahusson2d0da : Page créée avec « <span data-link_tra... »

==Introduction== 
WP scan est un scanner de vulnérabilités pour WordPress. Il est développé en Ruby. Il est capable de lister les plugins utilisés et vous donner les failles de sécurité associées. Il intègre aussi un module de brute-force pour s’attaquer à l’interface d’administration de WordPress.

Il est important de souligner que, comme pour la majorité des outils de sécurité et de scanning, WPscan ne sécurisera pas votre WordPress pour vous. Également, avoir effectué un check de sécurité avec WPscan qui ne vous remonte pas de failles visibles ne signifie pas que votre WordPress est à 100% sécurisé. C’est une notion qui doit être constamment en tête lorsque l’on parle de sécurité.

WP scan est présent nativement sur les distributions suivantes : (windows n’est pas supporté)

-BackBox Linux

-Kali Linux

-Pentoo

Si vous souhaitez faire l’installation manuellement sur une Debian/Ubuntu ou Fedora/Centos, voici les prérequis :

'''Sur Debian :'''

<code>sudo apt-get install git ruby ruby-dev libcurl4-gnutls-dev make

git clone https://github.com/wpscanteam/wpscan.git

cd wpscan

sudo gem install bundler

bundle install --without test --path vendor/bundle

</code>
'''Sur les distributions Fedora/CentOS/RHEL :'''

<code>sudo yum install gcc ruby-devel libxml2 libxml2-devel libxslt libxslt-devel libcurl-devel

git clone https://github.com/wpscanteam/wpscan.git

cd wpscan

sudo gem install bundler && bundle install --without test

ruby wpscan.rb votrecommande ....

</code>

Nous pouvons maintenant utiliser WPscan.

==Déroulé== 
Avant toute analyse, il convient de mettre à jour la base de données de wp-scan. Cela est important, car si l’on décide de scanner notre WordPress avec une base de données de vulnérabilités qui n’est pas à jour, certaines failles de sécurité relatives au thème, à la version de WordPress ou aux versions des plug-ins par exemple, ne vous seront pas reportées, on risque donc de passer à côté d’éléments critiques à sécuriser. Pour mettre à jour la base de données WPscan :

<code>wpscan --update</code>

Maintenant que notre base de données est à jour, nous allons pouvoir commencer à scanner notre site WordPress :

<code>wpscan --URL www.monsite.fr</code>

Avec cette commande vous pourrez connaître la version de WordPress, le nom du template, la liste des plugins ....

Lorsque vous avez un point d’exclamation rouge, cela veut dire qu’il est important de corriger l’erreur. Soit en mettant à jour WordPress où ses plugins soit en supprimant le fichier. La plupart d’entre nous, laisse traîner le fichier “readme.html”. Supprimez le, il fournit les informations de votre version de WP.

L’autre commande qui peut être intéressante et qui permet de scanner complètement un blog WordPress en énumérant les utilisateurs, les plugins vulnérables, les thèmes vulnérables connus, …

<code>wpscan --url www.monsite.fr --enumerate</code>

Vous pouvez affiner la détection des vulnérabilités en précisant une option supplémentaire par exemple uniquement les plugins vulnérables (–enumerate vp), les utilisateurs (–enumerate u), … Vous pouvez consulter le détail des options à cette adresse : http://wpscan.org

Vous pouvez faire un test de votre mot de passe avec la commande suivente :

<code>wpscan --URL www.monsite.fr --wordlist /chemindevotrelistebruteforce.txt --username votreutilisateur</code>

==Conclusion== 
Soyez attentif au fait de ne pas utiliser ce genre d’outil sur des sites web qui ne vous appartiennent pas ou sans le consentement de leur propriétaire. Il existe d’autres options d’utilisation de WPscan, mais nous avons ici vu son fonctionnement général.

Il est important de savoir comment fonctionnent WPscan et les outils similaires pour bien comprendre que certaines règles de sécurité indiquées (et même toutes) ne permettent pas de garantir une sécurité sûre à 100%. Mieux comprendre les outils et les stratégies et attaquants permet de mieux s’en défendre.



 
Cet article vous a semblé utile ? <vote />




<comments />


[[Catégorie:Securité]] [[Catégorie:Linux]]

Création et renouvellement d'un certificat let's encrypt

2016-07-26T13:21:18Z

Ahusson2d0da :

==Introduction== 
Let's Encrypt est une autorité libre, automatisé du Groupe de recherche sur Internet (ISRG). Il permet à quiconque d'installer un certificat SSL gratuit de confiance sur leur site web et bénéficier de la sécurité renforcée d'une connexion chiffré fournit.
Contrairement à un certificat SSL auto-signé, qui est également gratuit et sécurisé (mais non vérifié), le certificat Let's Encrypt est reconnu comme entièrement vérifié et affiche l'icône de cadenas dans la barre d'adresse des navigateurs modernes.

==Création du certificat== 
1) Cliquez sur les Sites Web & Domaines item dans le menu principal de votre prestation, et cliquez sur l'élément de menu Let's encrypt :

[[Fichier:Letsencrypt1.jpg]]

2) Entrez une adresse email valide dans le champ et cochez la case pour inclure www ...

[[Fichier:Letsencrypt2.jpeg]]

3) Une fois installé, vous serez renvoyé à la page précédente, où un message de réussite vous permettra de connaître que le processus est terminé. Si le processus n'a pas réussi, vérifiez que le nom de domaine que vous avez entré est valide. Le nom de domaine entré dans le formulaire doit :
*être correctement orthographié.
*être enregistré et actif.

4) Si vous venez de créer ou d'ajouter le nom de domaine à votre serveur, assurez-vous que vous avez également ajouté les enregistrements DNS appropriés (un enregistrement pointant vers votre adresse IP du serveur, au minimum.

5) Depuis Sites Web & Domaines dans votre prestation, cliquez sur Paramètres d'hébergement de votre domaine et veiller à ce que la zone de support de SSL est vérifiée , et que le certificat SSL Encrypt Let est sélectionné comme indiqué ci-dessous :

[[Fichier:Letsencrypt3.jpeg]]

==Renouvellement== 
Par défaut, les certificats SSL Let's Encrypt sont valables pendant 90 jours, mais Plesk automatise le renouvellement une fois par mois. La période de renouvellement est plus court permet de garantir votre sécurité et le processus devrait être complètement transparent pour vous et les visiteurs de votre site.
Si jamais vous avez besoin de renouveler un certificat manuellement, vous pouvez le faire à partir du menu Let's Encrypt, vous aller avoir le bouton renouveler si un certificat est déjà installé.

==Conclusion== 
 
Cet article vous a semblé utile ? <vote />




<comments />

[[Catégorie:SSL]]

Fichier:Letsencrypt3.jpeg

2016-07-26T13:14:09Z

Ahusson2d0da : Renouvellement

Renouvellement

Fichier:Letsencrypt2.jpeg

2016-07-26T13:13:39Z

Ahusson2d0da : Analyse du domaine

Analyse du domaine

Création et renouvellement d'un certificat let's encrypt

2016-07-26T11:12:22Z

==Introduction== 
Let's Encrypt est une autorité libre, automatisé du Groupe de recherche sur Internet (ISRG). Il permet à quiconque d'installer un certificat SSL gratuit de confiance sur leur site web et bénéficier de la sécurité renforcée d'une connexion chiffré fournit.
Contrairement à un certificat SSL auto-signé, qui est également gratuit et sécurisé (mais non vérifié), le certificat Let's Encrypt est reconnu comme entièrement vérifié et affiche l'icône de cadenas dans la barre d'adresse des navigateurs modernes.

==Création du certificat== 
1) Cliquez sur les Sites Web & Domaines item dans le menu principal de votre prestation, et cliquez sur l'élément de menu Let's encrypt :

[[Fichier:Letsencrypt1.jpg]]

2) Entrez une adresse email valide dans le champ et cochez la case pour inclure www ...

[[Média:Letsencrypt2.jpg]]

3) Une fois installé, vous serez renvoyé à la page précédente, où un message de réussite vous permettra de connaître que le processus est terminé. Si le processus n'a pas réussi, vérifiez que le nom de domaine que vous avez entré est valide. Le nom de domaine entré dans le formulaire doit :
*être correctement orthographié.
*être enregistré et actif.

4) Si vous venez de créer ou d'ajouter le nom de domaine à votre serveur, assurez-vous que vous avez également ajouté les enregistrements DNS appropriés (un enregistrement pointant vers votre adresse IP du serveur, au minimum.

5) Depuis Sites Web & Domaines dans votre prestation, cliquez sur Paramètres d'hébergement de votre domaine et veiller à ce que la zone de support de SSL est vérifiée , et que le certificat SSL Encrypt Let est sélectionné comme indiqué ci-dessous :

[[Média:Letsencrypt3.jpg]]

==Renouvellement== 
Par défaut, les certificats SSL Let's Encrypt sont valables pendant 90 jours, mais Plesk automatise le renouvellement une fois par mois. La période de renouvellement est plus court permet de garantir votre sécurité et le processus devrait être complètement transparent pour vous et les visiteurs de votre site.
Si jamais vous avez besoin de renouveler un certificat manuellement, vous pouvez le faire à partir du menu Let's Encrypt, vous aller avoir le bouton renouveler si un certificat est déjà installé.

==Conclusion== 
 
Cet article vous a semblé utile ? <vote />




<comments />

Fichier:Letsencrypt.jpeg

2016-07-26T11:05:27Z

Ahusson2d0da : let's encrypt check renew

let's encrypt check renew

Fichier:Letsencrypt1.jpeg

2016-07-26T11:05:12Z

Ahusson2d0da : let's encrypt check validation

let's encrypt check validation

Fichier:Letsencrypt1.jpg

2016-07-26T11:03:55Z

Ahusson2d0da :

Fichier:Letsencrypt1.png

2016-07-26T10:52:03Z

Ahusson2d0da : création certificat let's encrypt

création certificat let's encrypt