Adres
Bahçelievler, Karşıyaka - İzmir
Telefon No
+90 530 285 8990
Mail Adresi
info@birbu.com

WPSCAN Ile WordPress’i Güvence Altına Alma

WPSCAN Ile WordPress’i Güvence Altına Alma

WPScan nedir?

WPScan bir kara kutu güvenlik açığı tarayıcısıdır. Ruby programlama dili ile yazılmış WPScan, güvenlik yapılandırmaları, temalar, eklentiler ve kullanıcı izinleriyle ilgili sorunları algılamaya yardımcı olur. Kali, Pentoo ve Samurai WTF WPScan’da önceden kurulu. Ancak uygulama Ubuntu, Fedora ve Debian gibi bir Linux makinesinde kolayca kurulabilir – bu yazının ekran görüntüleri Ubuntu 16.04’te çalışan bir kişisel bilgisayardan alınmıştır.

Örneklere bakmaya başlamadan önce, WPScan’ın faydalarını ve özelliklerini daha iyi anlamamız gerektiğini düşündüm.

Çoğu durumda, modern bir WordPress web sitesi oluşturmak birkaç temayı denemek ve web sitenizin işlevselliğini geliştirmek için bir dizi eklenti kurmakla ilgilidir. Bir kere asıldıktan sonra, ikinci doğa olur ve ihtiyacınızdan daha fazla tema ve eklentiyle kendinizi bulursunuz. Ancak, tüm bu yazılımları yüklemek, özellikle de güncellemeler göz ardı edildiğinde ve yazılım güvenilir kaynaklardan gelmediğinde web sitenizi savunmasız bırakabilir.

WPScan taramayı gerçekleştirdiğinde, uygulama tüm temalarınızın ve eklentilerinin bir listesini oluşturacak, sürüm numaralarını değerlendirecek ve sonra bilinen güvenlik açıklarının olup olmadığını kontrol edecektir.

WPScan, WordPress sürümü, temaları ve eklentileri hakkında önemli bilgiler sağlamanın ötesinde bir kullanıcı listesi derleyebilir. Böylece hangisinin zayıf bir şifre kullanıp kullanmadığını test edebiliriz. Uygulamanın güzelliği, bu bilgilerin uzaktan yönetici erişimi olmaksızın edinilebilmesidir!

 

WordPress, milyonlarca web sitesine, e-ticaret mağazasına, bloga ve web uygulamasına güç sağlamak için kullanılan, dünyanın en sevdiği içerik yönetim sistemidir.

Kullanımı kolay ve az miktarda çaba harcayarak güzel web sitelerini başlatma kabiliyeti, WordPress’i modern web tasarımında bir standart yaparak internetin yaklaşık yüzde 30’una güç sağladı. Ancak popülerliği nedeniyle, WordPress de bilgisayar korsanları için ortak bir hedef haline geldi.

Bir WordPress web sitesinin kusurlarını güvence altına almak ve anlamak, web sitesi sahipleri tarafından genellikle göz ardı edilen bir görevdir. Bununla birlikte, WPScan adında kullanışlı bir araçla girişimciler ve web geliştiricileri kurulumlarının güvenliğini kolayca değerlendirebilir ve ödüllü web sitelerini daha güvenli tutabilir.

 

WPScan Kurulumu

WPScan’ı kurma talimatları web sitesinin  ana sayfasından bulunabilir . Ubuntu’yu yüklediyseniz (benim gibi), bu komutları çalıştırabileceksin.

Önce, Git’i kurmak isteyeceğiz. Git, bir kod havuzunda yükleme ve güncelleme için kolay erişim sağlayan bir araçtır.

Sonra birkaç önkoşul.

Şimdi git’i kullanarak WPScan kodunun ana dalını klonladınız, bu, sisteminizde koduyla birlikte bir klasör oluşturacaktır.

Ardından yakutla fırlatın.

WPScan ile çalışma

Basit bir tarama çalıştırmak için aşağıdaki komutu kullanın:

Ayrıca bir HTTP proxy kullanmayı düşünürsünüz, barındırma sağlayıcınızın IP’nizi şüpheli olarak işaretlemesini istemezsiniz.

Taramanız engelleniyorsa uygulamanın rasgele kullanıcı aracısı özelliklerini kullanabilirsiniz:

Temel bir taramayı çalıştırmak kurulum hakkında pek çok faydalı bilgiyi açığa çıkaracaktır. Güvenlik açıkları kırmızı ile vurgulanır.

Artık kullanıcıları, temaları ve eklentileri numaralandırarak daha derin bir kazmaya başlayabilirsiniz.

Kullanıcı Numaralandırması

Fikir, geçerli kullanıcı adlarının listesini toplamaktır. Bir kullanıcı adı listesini bulduktan sonra, kullanıcılarımızın herhangi birinin zayıf bir şifre kullanıp kullanmadığını test edebiliriz.

WPScan, kullanıcı kimlikleri aracılığıyla onları sitenizin URL’sine ekleyerek tekrarlar.

Örneğin, www.yourwebsite.com/?author=1, URL’ye 2 ve 3 ekleyerek … kullanıcının oturum açma kimliği ortaya çıkar.

Varsayılan olarak, 1’den 10’a kadar kimlikleri arayacaktır. Daha fazla kullanıcı adı için aşağıdaki komutu kullanmak isteyeceksiniz: u [10-20].

Artık, kullanıcılarımızdan herhangi birinin zayıf bir şifre kullanarak kaba kuvvet testi uygulayıp çalıştırmadığını test edebildiğimiz kullanıcı adları listesini derledik:

Diğerlerinde www.example.com web sitesini hedefleyin ve yönetici şifresinin darkc0de listemizde olup olmadığını test edin ve bağlantımızı 50 konuya sınırlayın.

Eklenti Numaralandırması

Çoğu WordPress web sitesinde çok sayıda eklenti bulunur. Çoğu durumda, gerekenden daha fazla. Sitedeki hangi eklentilerin çalıştığını bulmak istiyorsanız, aşağıdaki komutu kullanın:

WPScan, bilinen savunmasız eklentilerin çoğunu ve sürüm numaralarını içeren büyük bir veritabanını tutar. Güvenlik açığı bulunan eklentileri bulmak için aşağıdaki komutu çalıştırabilirsiniz:

WPScan eklenti sürümünü belirleyemezse, geçmiş tüm güvenlik açıklarını ve düzeltildikleri zamanı listeler.

Tema Numaralandırması

Bir WordPress web sitesi birçok varsayılan temayla birlikte gelir ve çoğu zaman web yöneticileri, güvenilir ve güvenilir olmayan kaynaklardan birkaç tema daha yükleyerek web sitelerinin tasarımıyla denemek ister. Eklenti komutu gibi, şu şekilde temaların bir listesini derleyebiliriz:

Aynı şekilde, hassas temalar için:

Temel Önlemler

Gördüğünüz gibi WPscan, bir hacker tarafından kullanılmadan önce WordPress kurulumunuzun genel güvenliğini değerlendirmek ve güvenlik zayıf yönlerini düzeltmek için harika bir araçtır.

WordPress web sitenizi güvende tutmaya devam etmek için aşağıdakileri denemelisiniz:

  • Güncel kal.
  • Temalarınızı ve eklentilerinizi güncel tutun.
  • Gereksiz temaları ve eklentileri silin (özellikle bir süre güncelleştirilmediyse).
  • Varsayılan admin kullanıcısını silin.
  • Doğal olarak güçlü parolalar kullanın.
  • Giriş girişimleri sınırlamak ve kötü niyetli istekleri önlemek için bir güvenlik eklentisi yapılandırın.
  • Güvenilir bir şirkete ev sahipliği yapın!

Olumlu bir kayda göre, sitelerdeki baskınların ezici çoğunluğu otomatik botlarla yapılır. Dolayısıyla, çoğu durumda sitenize giren ve onu kırmaya çalışan çok saat harcayan bir kişi değil, savunmasız web sitelerini arayan net sörf yapan yazılımlar. Dolayısıyla, web siteniz dikkatle kurulmuş ve iyi yapılandırılmışsa sorun yaşamalısınız!

Sosyal Medyada Paylaş

Yorumlar