WordPress audit · 8 kontrol jen pro WordPress

WordPress audit zdarma. 8 kontrol jen pro WordPress.

Sken zaměřený jen na WordPress. Najdeme typické díry, které běžné skenery přehlédnou: zapomenuté zálohy wp-config, veřejný seznam uživatelů, čitelný debug.log a další.

Pasivní sken · žádná registrace · výsledky do 30 sekund

https://

Sken trvá 30 sekund. PDF report si pak vyžádejte tlačítkem na výsledcích.

Jak to funguje

3 kroky · 30 sekund

Zadáte doménu s WordPressem

WordPress poznáme sami. Verzi ani šablonu zadávat nemusíte.

8 kontrol jen pro WordPress

xmlrpc, výpis uživatelů přes REST, archiv autorů, debug.log, výpis adresáře uploads, readme.html, license.txt a záloha wp-config.

Výsledky a PDF report

Nejzávažnější nálezy uvidíte hned. Kompletní PDF report vám pošleme e-mailem zdarma. Každý nález v něm vysvětlíme a přidáme krok k opravě.

Co u WordPressu kontrolujeme

WordPress má vlastní typické problémy. Obecný skener je často přehlédne, my je hledáme cíleně.

WP RESTkritické

Výpis uživatelů přes /wp-json/wp/v2/users

Kdokoli si stáhne seznam všech autorů včetně user_login. To je půlka cesty k útoku hádáním hesel.

GET /wp-json/wp/v2/users → ["admin","editor"]

Odhalenékritické

debug.log čitelný z internetu

WP_DEBUG_LOG = true zapisuje do /wp-content/debug.log. Bývají v něm databázové dotazy, cesty, někdy i hesla.

GET /wp-content/debug.log → 200 OK

xmlrpcvarování

XML-RPC je zapnutý

Přes xmlrpc.php útočník vyzkouší 1000 hesel jedním požadavkem. 99 % webů na WordPressu ho nepotřebuje.

POST /xmlrpc.php → system.listMethods OK

Výpisvarování

Adresář uploads vypisuje svůj obsah

Návštěvník vidí všechny nahrané soubory včetně PDF s fakturami nebo testovacími obrázky.

GET /wp-content/uploads/ → Index of

Souboryvarování

readme.html dostupný z internetu

Soubor potvrdí, že web běží na WordPressu, a u starších instalací prozradí i verzi. Stačí ho smazat nebo zablokovat.

GET /readme.html → 200 OK

Zálohavarování

wp-config.php.bak v kořenu webu

Kdokoli si stáhne přístupy do databáze.

GET /wp-config.php.bak → 200 OK (4.3 KB)

O Vulscan

Spravujeme WordPress weby pro klienty roky a víme, kde běžné pluginy a šablony nechávají slabá místa. Tento sken hledá to, co jsme v praxi viděli jako skutečný útok.

hello@vulscan.app LinkedIn

Pasivní sken

Žádné invazivní testy. Chováme se jako běžný návštěvník, web naši kontrolu nepocítí.

Český kontext

Známe místní hostingy, CMS i registrátory, takže doporučení dáváme konkrétní.

Skutečná pomoc

Když nálezu nerozumíte, napište nám. Odpovíme.

Časté otázky

Funguje to i pro WordPress multisite?+

Ano, ale skenujeme jen hlavní doménu. U sítě na subdoménách nebo v podadresářích nám napište. Poradíme, jak na to nejjednodušeji.

Je sken bezpečný? Nepoškodí to web?+

Ano. Sken je pasivní a chová se jako obyčejný návštěvník. Nezkoušíme exploity, neprolamujeme hesla a neposíláme útočné požadavky. Web naši kontrolu nepocítí.

Co děláte s daty? Kam jdou výsledky?+

Nejzávažnější nálezy uvidíte hned na webu. Kompletní PDF report si pošlete na e-mail jedním kliknutím. E-mail si necháme, abychom vás mohli upozornit, kdyby se na vaší doméně objevil nový vážný nález. Z odběru se můžete kdykoliv odhlásit.

Co když najdete kritický problém?+

Dostanete report, kde je každý problém vysvětlený a má konkrétní krok k opravě. Většinu věcí zvládne váš webmaster. Pokud ne, napište nám. Rádi se na to podíváme.

Stojí to peníze? Kde je háček?+

Jednorázový sken je zdarma.

Sken WordPressu zdarma. PDF report s postupem opravy.

Najdeme xmlrpc, debug.log, výpis uživatelů, odhalený wp-config a další problémy WordPressu. U každého řekneme, jak ho opravit.