בדיקת אבטחה לוורדפרס

1. הקלידו את כתובת האתר. example.com מספיק; נתיב אחרי הדומיין לא משנה, כי נבדקים רק דף הבית וכמה כתובות וורדפרס סטנדרטיות.
2. סמנו את התיבה: האתר צריך להיות שלכם, או שיש לכם אישור בכתב לבדוק אותו.
3. לחצו סריקה. זה לוקח כמה שניות ושולח לכל היותר 32 בקשות, כולן GET או HEAD רגילות.
4. תקנו קודם את השורות האדומות. בכל אחת כתוב מה נמצא ומה לשנות, עם קישור לחלק בצ׳קליסט שמסביר למה.
5. אחר כך עברו על מה שסריקה לא רואה: גיבויים, סיסמאות, עדכונים. שם נמצאת רוב העבודה האמיתית.

רוב הפריצות לוורדפרס הן לא מתוחכמות. בוט לוקח רשימה של נקודות תורפה ידועות ומנסה אותה על אלפי אתרים. הכלי הזה שואל את אותן שאלות שהבוט שואל, כדי שתראו את האתר כמו שהוא רואה אותו: האם שמות המשתמש שלכם מופיעים ב-/wp-json/wp/v2/users, האם xmlrpc.php עונה, האם הדף מכריז על גרסת הוורדפרס, והאם הגרסה הזו (או תוסף או תבנית שהדף טוען) מופיעה ברשימות פגיעויות ידועות, האם יש גיבויים או .env בתיקיית האתר, האם אפשר לדפדף בתיקיית ההעלאות, האם האתר ב-HTTPS עם תעודה תקינה, והאם כותרות האבטחה הבסיסיות מוגדרות.

הוא פסיבי בכוונה. הוא קורא רק מה שהאתר מראה לכל מבקר: בלי התחברות, בלי ניחוש סיסמאות, בלי אקספלויטים, בלי POST ל-XML-RPC ובלי להוריד את wp-config.php או גיבויים: על קבצים נשכחים הוא שואל בבקשת HEAD, שמחזירה רק כותרות. אתר שעבר את הבדיקה הוא לא „מאובטח”. פשוט אין לו דלת פתוחה לרחוב.

למה צריך כאן שרת, כשלשאר הכלים פה לא צריך: לדפדפן אסור לקרוא כותרות תשובה של אתר אחר, והכותרות הן חצי ממה שנבדק. לכן הכתובת נשלחת לסורק קטן באתר הזה. הוא מסרב לפנות לכתובות פרטיות ופנימיות, בודק כל הפניה מחדש לפני שהוא הולך אחריה, עוצר כל סריקה אחרי 32 בקשות או 30 שניות, ומאפשר רק כמה סריקות בדקה לכל מבקר, כמה סריקות לכל אתר בכל עשר דקות, ומספר קטן ביום בסך הכול. בקשה חוזרת על אותו אתר בתוך חמש דקות מציגה את אותו דוח במקום לסרוק שוב. כל סריקה משאירה שורת יומן אחת (זמן, כתובת ה-IP שלכם, האתר והציון) כדי שאפשר יהיה לזהות שימוש לרעה; היא נשמרת עם שאר יומני השרת, שנמחקים עם הזמן. בשביל שורות הפגיעויות הוא קורא את ה-readme.txt הציבורי של כל תוסף כדי לדעת איזו גרסה מותקנת, ושואל את המאגר החינמי WPVulnerability על התוסף והגרסה; הכתובת שלכם לא חלק מהשאלה.

הציון מתחיל ב-100 ומאבד נקודות על כל ממצא: 25 על שמות משתמש גלויים או גיבוי, .env או עותק הגדרות שאפשר להוריד, עד 20 על כל תוסף פגיע ו-15 על ליבה פגיעה, 10 כל אחד על XML-RPC, תיקיית העלאות פתוחה לדפדוף, גרסה גלויה, היעדר HTTPS או תעודה פגומה, ומעט על כותרות חסרות ובאנרים פטפטניים של השרת. מ-85 ומעלה זה בסיס טוב, 65 עד 84 דורש תשומת לב, ומתחת לזה סגרו קודם את הדלתות הפתוחות. ההסבר לכל שורה, וכל מה שסריקה לא רואה, נמצא בצ׳קליסט האבטחה לוורדפרס.