וורדפרס היא תוכנת קוד פתוח CMS (מערכת ניהול תוכן), כלומר פלטפורמה המאפשרת ליצור ולנהל אתר אינטרנט ותכניו בצורה פשוטה ודינמית. כיום זוהי השיטה הנפוצה ביותר ליצירת אתרים, ההערכה היא כי 40% מהאתרים עשויים עם וורדפרס.
מסיבה זו נוצרו תוכנות, פלאגינים וכלים רבים שניתן לשלב או ליצור אינטראקציה עם CMS זה. לחלקם יש מטרות שיווקיות, גרפיקות או תוספות
התאמות אישיות לאתר לכלים אחרים במקום יש פונקציות ניתוח כמו למשל WPScan שאנו הולכים להסביר בפירוט.
האם וורדפרס מתפקדת עבור אתרים גדולים?
לעתים קרובות, וורדפרס משויכת בטעות לעסקים זעירים או לעסקים עם תקציב מוגבל. במקום זאת, הוגן לציין כמה אתרים עם תעבורה גבוהה ונציגי חברות
רחוק מלהיות מוגבל כלכלית לשימוש בטכנולוגיה זו.
הנה רשימה לא ממצה של כמה מותגים ידועים שמשתמשים בוורדפרס:
- ספוטיפיי
- CNN
- TED
- מיקרוסופט
- Vimeo
- ויקיהאו
- הניו יורק טיימס
- סקייפ
- נאס"א
- סוני פלייסטיישן
- וולט דיסני
והרשימה עוד ארוכה...
מה זה WPScan?
WPScan זה כלי CLI, כלומר, שמיש רק משורת הפקודה, זה מוצר קוד פתוח למעשה זה קשור לעתים קרובות להפצות לינוקס כגון קאלי לינוקס.
זה סורק אבטחת אינטרנט נולד על מנת לנתח את הפלטפורמה WorpPress. כפי שדווח על ידי התיעוד הרשמי, הוא נוצר כדי לשמש במהלך בדיקות חדירה. לאחר מכן הוא משמש על ידי משתמשי וורדפרס רבים כדי לנתח את התאימות של האתר שלהם.
המטרה העיקרית של WPScan היא לחפש פרצות אבטחה בתוך הפלטפורמה, היא מסוגלת לבדוק אתר שמאמץ וורדפרס CMS ולבדוק פרצות.
כיצד להתחיל להשתמש ב-WPScan?
כמו בכלי CLI רבים, הפקודה הראשונה להשתמש כדי לגשת לתוכנה היא: wpscan -h
הפלט שנקבל ייראה כך:
האפשרויות שהכלי מצויד בהן מפורטות ומתוארות.
האפשרות הבסיסית הראשונה היא --כתובת אתר המאפשר לך להכניס קישור של סביבה לניתוח.
הפקודה תהיה אז: wpscan -כתובת אתר www.sitename.com
הפלט יהיה הניתוח האמיתי של האתר עם ראיות של כל פגיעות או נתונים רגישים שנחשפו.
במקרה שהאתר המנותח אינו משתמש בוורדפרס או שאינו ניתן לזיהוי, הפעולה תסתיים בהודעת שגיאה.
הפונקציונליות של כלי זה מנוסחת סביב סריקה בסיסית זו של הסביבה.
כמה פרמטרים נוספים שמוצגים על ידי WPScan שבהם אנו יכולים להשתמש בהתאם לצרכים שלנו הם הבאים:
- --כוח מבצע את כל הבדיקות שנקבעו מראש גם אם האתר לא מקוון.
- -—עקוב אחר - הפנייה מחדש כדי לברר אם האתר המדובר מבצע הפניות מחדש אולי
גם לאתרים אחרים או לדפים חברתיים.
- –- מילולית הוא משמש להפעלת WPScan עם פלט מפורט יותר ואז מראה את אחוז ההתקדמות של הפעולה.
- -- נמנה עם אפשרות זו ניתן לרשום את התוספים, ערכת הנושא בשימוש, המשתמשים ותכונות שונות אחרות של האתר עם הבעיות הנלוות.
כמו כן, ניתן לבצע ניתוחים בעילום שם, מבלי להשאיר עקבות.
לבסוף, ישנה אפשרות ליצור פלט מותאם אישית על ידי שמירתו גם בקובץ. ניתן גם לשלב את האפשרויות המפורטות הללו כדי לקבל תוצאה מפורטת יותר.
כמה פרטים טכניים על WPScan
הכלי מכיל מסד נתונים המאפשר לבצע פעולות ספירה, כלומר לבדוק ולפרט את הפגיעויות הנפוצות ביותר. זה גם מאפשר התקפות מסוג Bruteforce,
לאחר מכן נסה את כל השילובים האפשריים של סיסמה כדי לגשת לאתר.
מסד הנתונים מתעדכן לעתים קרובות מאוד, וזו הסיבה שהניתוח באותו אתר יכול לספק תוצאות שונות לחלוטין במשך תקופה קצרה.
לסיכום, זה הרגל טוב להישאר מעודכן לגבי בעיות האבטחה שהתוכנה שבה אנו משתמשים יכולה להציג ולעולם לא לדלג על העדכונים
מְשׁוּחרָר.
אתר אינטרנט הוא אף פעם לא בטוח לחלוטין, נקודות תורפה רבות מתגלות מדי יום, וורדפרס הוא מוצר מאוד משומש תמיד על הכוונת של הרעים.
אני מזכיר לך שמאמר זה מיועד למטרות חינוכיות בלבד, שימוש לא מורשה בתוכנה המדוברת נחשב לניסיון לקבל גישה לא מורשית למערכת מחשב ועשוי על פי חוק.
