WPScanによるxmlrpcの検証方法
WordPressではXML-RPCの機能がデフォルトでは有効になっています。 最新のWordPressのバージョンでは、XML-RPCに取って代わるREST APIが機能として存在するため、用途はほぼ皆無であると思います。 「WordPress xmlrpc」とググると、ブルートフォースアタックなどの脆弱性の温床になりかねないということで、無効化する方法が出てきます。 公式プラグインの WPScan ではXML-RPCが有効であるかどうかの検証をしていますが、その検証の仕方が予期しないもので、対応がなかなかうまく行かなかった話を紹介します。 結論から言うと、Webサーバーの設定でxmlrpc.phpへのアクセスを拒否する方法が簡単です。 WPScanとはWPScanはプラグインやテーマ、WordPressのコアの脆弱性を検出するプラグインです。 コード以外にも重要なファイルがpublic
WPScanとNiktoを使用してWordPressの脆弱性診断をしてみた。 - Security Record
WPScanコマンドの実行 オプションについて --api-tokenオプション --formatオプション --outputオプション --enumerateオプション 実行結果 --formatを指定しない場合の診断結果 実行コマンド 診断結果 --formatでJSON形式を指定した場合の診断結果 実行コマンド 診断結果 WPScanによる脆弱性診断でわかったこと Metasploit Frameworkを使用して、攻撃コードが無いか確認 Metasploit Frameworkの起動 攻撃コードが無いか調べてみる ついでにNiktoでも脆弱性を診断してみる 実行コマンド 実行結果 調査結果でわかったこと WPScanでわかったこと Niktoでわかったこと まとめ ※注意 こちらで紹介した内容を外部サーバーに対して実行した場合、場合によっては刑法にて処罰されます。 実験を行う場合は
WPScan WordPress Security Scanner
WPScan WordPress Security ScannerThe WPScan CLI tool is a free, for non-commercial use, black box WordPress security scanner written for security professionals and blog maintainers to test the security of their sites. The WPScan CLI tool uses our database of 21,907 WordPress vulnerabilities. Install now by running: gem install wpscan The version of WordPress installed and any associated vulnerabil
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
