WPScan - scanner de vulnerabilite pour WordPress

Introduction

WP scan est un scanner de vulnérabilités pour WordPress. Il est développé en Ruby. Il est capable de lister les plugins utilisés et vous donner les failles de sécurité associées. Il intègre aussi un module de brute-force pour s’attaquer à l’interface d’administration de WordPress.

Il est important de souligner que, comme pour la majorité des outils de sécurité et de scanning, WPscan ne sécurisera pas votre WordPress pour vous. Également, avoir effectué un check de sécurité avec WPscan qui ne vous remonte pas de failles visibles ne signifie pas que votre WordPress est à 100% sécurisé. C’est une notion qui doit être constamment en tête lorsque l’on parle de sécurité.

WP scan est présent nativement sur les distributions suivantes : (windows n’est pas supporté)

-BackBox Linux

-Kali Linux

-Pentoo

Si vous souhaitez faire l’installation manuellement sur une Debian/Ubuntu ou Fedora/Centos, voici les prérequis :

Sur Debian :

sudo apt-get install git ruby ruby-dev libcurl4-gnutls-dev make

git clone https://github.com/wpscanteam/wpscan.git

cd wpscan

sudo gem install bundler

bundle install --without test --path vendor/bundle

Sur les distributions Fedora/CentOS/RHEL :

sudo yum install gcc ruby-devel libxml2 libxml2-devel libxslt libxslt-devel libcurl-devel

git clone https://github.com/wpscanteam/wpscan.git

cd wpscan

sudo gem install bundler && bundle install --without test

ruby wpscan.rb votrecommande ....

Nous pouvons maintenant utiliser WPscan.

Déroulé

Avant toute analyse, il convient de mettre à jour la base de données de wp-scan. Cela est important, car si l’on décide de scanner notre WordPress avec une base de données de vulnérabilités qui n’est pas à jour, certaines failles de sécurité relatives au thème, à la version de WordPress ou aux versions des plug-ins par exemple, ne vous seront pas reportées, on risque donc de passer à côté d’éléments critiques à sécuriser. Pour mettre à jour la base de données WPscan :

wpscan --update

Maintenant que notre base de données est à jour, nous allons pouvoir commencer à scanner notre site WordPress :

wpscan --URL www.monsite.fr

Avec cette commande vous pourrez connaître la version de WordPress, le nom du template, la liste des plugins ....

Lorsque vous avez un point d’exclamation rouge, cela veut dire qu’il est important de corriger l’erreur. Soit en mettant à jour WordPress où ses plugins soit en supprimant le fichier. La plupart d’entre nous, laisse traîner le fichier “readme.html”. Supprimez le, il fournit les informations de votre version de WP.

L’autre commande qui peut être intéressante et qui permet de scanner complètement un blog WordPress en énumérant les utilisateurs, les plugins vulnérables, les thèmes vulnérables connus, …

wpscan --url www.monsite.fr --enumerate

Vous pouvez affiner la détection des vulnérabilités en précisant une option supplémentaire par exemple uniquement les plugins vulnérables (–enumerate vp), les utilisateurs (–enumerate u), … Vous pouvez consulter le détail des options à cette adresse : http://wpscan.org

Vous pouvez faire un test de votre mot de passe avec la commande suivante :

wpscan --URL www.monsite.fr --wordlist /chemindevotrelistebruteforce.txt --username votreutilisateur

Conclusion

Soyez attentif au fait de ne pas utiliser ce genre d’outil sur des sites web qui ne vous appartiennent pas ou sans le consentement de leur propriétaire. Il existe d’autres options d’utilisation de WPscan, mais nous avons ici vu son fonctionnement général.

Il est important de savoir comment fonctionnent WPscan et les outils similaires pour bien comprendre que certaines règles de sécurité indiquées (et même toutes) ne permettent pas de garantir une sécurité sûre à 100%. Mieux comprendre les outils et les stratégies des attaquants permet de mieux s’en défendre.

Cet article vous a semblé utile ?

0

Voter

Trier par date Trier par pointage

Activer l'actualisation automatique des commentaires

Vous n'êtes pas autorisé à publier de commentaire.