WPScanによるxmlrpcの検証方法
WordPressではXML-RPCの機能がデフォルトでは有効になっています。 最新のWordPressのバージョンでは、XML-RPCに取って代わるREST APIが機能として存在するため、用途はほぼ皆無であると思います。 「WordPress xmlrpc」とググると、ブルートフォースアタックなどの脆弱性の温床になりかねないということで、無効化する方法が出てきます。 公式プラグインの WPScan ではXML-RPCが有効であるかどうかの検証をしていますが、その検証の仕方が予期しないもので、対応がなかなかうまく行かなかった話を紹介します。 結論から言うと、Webサーバーの設定でxmlrpc.phpへのアクセスを拒否する方法が簡単です。 WPScanとはWPScanはプラグインやテーマ、WordPressのコアの脆弱性を検出するプラグインです。 コード以外にも重要なファイルがpublic
WPScanとNiktoを使用してWordPressの脆弱性診断をしてみた。 - Security Record
WPScanコマンドの実行 オプションについて --api-tokenオプション --formatオプション --outputオプション --enumerateオプション 実行結果 --formatを指定しない場合の診断結果 実行コマンド 診断結果 --formatでJSON形式を指定した場合の診断結果 実行コマンド 診断結果 WPScanによる脆弱性診断でわかったこと Metasploit Frameworkを使用して、攻撃コードが無いか確認 Metasploit Frameworkの起動 攻撃コードが無いか調べてみる ついでにNiktoでも脆弱性を診断してみる 実行コマンド 実行結果 調査結果でわかったこと WPScanでわかったこと Niktoでわかったこと まとめ ※注意 こちらで紹介した内容を外部サーバーに対して実行した場合、場合によっては刑法にて処罰されます。 実験を行う場合は
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
