WPScan - scanner de vulnerabilite pour WordPress
fr:WPScan - scanner de vulnerabilite pour WordPress en:WPScan - for WordPress vulnerability scanner es:WPScan - para el escáner de vulnerabilidad de WordPress pt:WPScan - para scanner de vulnerabilidade WordPress it:WPScan - per scanner di vulnerabilità di WordPress nl:WPScan - voor WordPress kwetsbaarheid scanner de:WPScan - für WordPress-Schwachstellen-scanner zh:WPScan-为 WordPress 漏洞扫描器 ar:وبسكان--وورد الضعف الماسح الضوئي ja:WPScan - ワードプレスの脆弱性スキャナーの pl:WPScan - dla WordPress skaner luk w zabezpieczeniach ru:WPScan - для WordPress уязвимости сканера ro:WPScan - pentru WordPress vulnerabilitate scanner he:WPScan - עבור וורדפרס פגיעות סורק
Introduction
WP scan est un scanner de vulnérabilités pour WordPress. Il est développé en Ruby. Il est capable de lister les plugins utilisés et vous donner les failles de sécurité associées. Il intègre aussi un module de brute-force pour s’attaquer à l’interface d’administration de WordPress.
Il est important de souligner que, comme pour la majorité des outils de sécurité et de scanning, WPscan ne sécurisera pas votre WordPress pour vous. Également, avoir effectué un check de sécurité avec WPscan qui ne vous remonte pas de failles visibles ne signifie pas que votre WordPress est à 100% sécurisé. C’est une notion qui doit être constamment en tête lorsque l’on parle de sécurité.
WP scan est présent nativement sur les distributions suivantes : (windows n’est pas supporté)
-BackBox Linux
-Kali Linux
-Pentoo
Si vous souhaitez faire l’installation manuellement sur une Debian/Ubuntu ou Fedora/Centos, voici les prérequis :
Sur Debian :
sudo apt-get install git ruby ruby-dev libcurl4-gnutls-dev make
git clone https://github.com/wpscanteam/wpscan.git
cd wpscan
sudo gem install bundler
bundle install --without test --path vendor/bundle
Sur les distributions Fedora/CentOS/RHEL :
sudo yum install gcc ruby-devel libxml2 libxml2-devel libxslt libxslt-devel libcurl-devel
git clone https://github.com/wpscanteam/wpscan.git
cd wpscan
sudo gem install bundler && bundle install --without test
ruby wpscan.rb votrecommande ....
Nous pouvons maintenant utiliser WPscan.
Déroulé
Avant toute analyse, il convient de mettre à jour la base de données de wp-scan. Cela est important, car si l’on décide de scanner notre WordPress avec une base de données de vulnérabilités qui n’est pas à jour, certaines failles de sécurité relatives au thème, à la version de WordPress ou aux versions des plug-ins par exemple, ne vous seront pas reportées, on risque donc de passer à côté d’éléments critiques à sécuriser. Pour mettre à jour la base de données WPscan :
wpscan --update
Maintenant que notre base de données est à jour, nous allons pouvoir commencer à scanner notre site WordPress :
wpscan --URL www.monsite.fr
Avec cette commande vous pourrez connaître la version de WordPress, le nom du template, la liste des plugins ....
Lorsque vous avez un point d’exclamation rouge, cela veut dire qu’il est important de corriger l’erreur. Soit en mettant à jour WordPress où ses plugins soit en supprimant le fichier. La plupart d’entre nous, laisse traîner le fichier “readme.html”. Supprimez le, il fournit les informations de votre version de WP.
L’autre commande qui peut être intéressante et qui permet de scanner complètement un blog WordPress en énumérant les utilisateurs, les plugins vulnérables, les thèmes vulnérables connus, …
wpscan --url www.monsite.fr --enumerate
Vous pouvez affiner la détection des vulnérabilités en précisant une option supplémentaire par exemple uniquement les plugins vulnérables (–enumerate vp), les utilisateurs (–enumerate u), … Vous pouvez consulter le détail des options à cette adresse : http://wpscan.org
Vous pouvez faire un test de votre mot de passe avec la commande suivante :
wpscan --URL www.monsite.fr --wordlist /chemindevotrelistebruteforce.txt --username votreutilisateur
Conclusion
Soyez attentif au fait de ne pas utiliser ce genre d’outil sur des sites web qui ne vous appartiennent pas ou sans le consentement de leur propriétaire. Il existe d’autres options d’utilisation de WPscan, mais nous avons ici vu son fonctionnement général.
Il est important de savoir comment fonctionnent WPscan et les outils similaires pour bien comprendre que certaines règles de sécurité indiquées (et même toutes) ne permettent pas de garantir une sécurité sûre à 100%. Mieux comprendre les outils et les stratégies des attaquants permet de mieux s’en défendre.
Retrouvez la page dédiée à notre offre Wordpress sur le site Ikoula.
Cet article vous a semblé utile ?
Activer l'actualisation automatique des commentaires