Audyt WordPress · 8 kontroli tylko dla WordPressa

Bezpłatny audyt WordPress. 8 kontroli tylko dla WordPressa.

Skan skupiony tylko na WordPressie. Znajdziemy typowe dziury, które standardowe skanery pomijają: zapomniane kopie wp-config, publiczna lista użytkowników, czytelny debug.log i więcej.

Skan pasywny · bez rejestracji · wyniki w 30 sekund

https://

Skan trwa 30 sekund. Raport PDF można zamówić przyciskiem na stronie wyników.

Jak to działa

3 kroki · 30 sekund

Wpisanie domeny WP

Wykrywamy WordPress automatycznie. Nie trzeba podawać wersji ani szablonu.

8 kontroli tylko dla WordPressa

xmlrpc, enumeracja użytkowników przez REST, archiwum autorów, debug.log, listing uploadów, readme.html, license.txt i kopie wp-config.

Wyniki i raport PDF

Najpoważniejsze znaleziska są widoczne od razu. Pełny raport PDF wyślemy bezpłatnie e-mailem. Każde znalezisko w nim wyjaśniamy i podajemy konkretny krok naprawczy.

Specyficzne znaleziska WP, które sprawdzamy

WordPress ma swoje typowe problemy. Generyczne skanery często je pomijają. My szukamy ich celowo.

WP RESTkrytyczne

User enumeration przez /wp-json/wp/v2/users

Każdy może pobrać listę wszystkich autorów wraz z nazwami logowania. To połowa drogi do ataku brute-force.

GET /wp-json/wp/v2/users → ["admin","editor"]

Exposedkrytyczne

debug.log czytelny z internetu

WP_DEBUG_LOG = true zapisuje do /wp-content/debug.log. Tam są zapytania, ścieżki, czasem hasła.

GET /wp-content/debug.log → 200 OK

xmlrpcostrzeżenie

XML-RPC jest włączony

Przez xmlrpc.php atakujący próbuje 1000 haseł jednym zapytaniem. 99% stron WP go nie potrzebuje.

POST /xmlrpc.php → system.listMethods OK

Listingostrzeżenie

Katalog uploads umożliwia listing

Każdy może zobaczyć wszystkie wgrane pliki, w tym PDF z fakturami lub obrazy testowe.

GET /wp-content/uploads/ → Index of

Plikiostrzeżenie

readme.html dostępny z internetu

Plik potwierdza, że strona działa na WordPressie, a w starszych instalacjach zdradza też wersję. Wystarczy go usunąć lub zablokować.

GET /readme.html → 200 OK

Backupostrzeżenie

wp-config.php.bak w katalogu głównym

Każdy może pobrać dane dostępowe do bazy danych.

GET /wp-config.php.bak → 200 OK (4.3 KB)

O Vulscan

Od lat zarządzamy stronami WordPress dla klientów i wiemy, gdzie zwykłe wtyczki i szablony zostawiają otwarte drzwi. Ten skan szuka konkretnie tego, co widzieliśmy w praktyce jako realny atak.

hello@vulscan.app LinkedIn

Skan pasywny

Bez inwazyjnych testów. Zachowujemy się jak zwykły gość, Państwa strona nie odczuje, że tam jesteśmy.

Kontekst europejski

Znamy lokalnych dostawców hostingu, systemy CMS i rejestratorów, dlatego nasze zalecenia są konkretne.

Realna pomoc

Jeśli coś jest niejasne, prosimy o wiadomość. Odpowiemy.

Najczęściej zadawane pytania

Działa to też dla multi-site WP?+

Tak, ale skanujemy tylko główną domenę. Dla sieci subdomen / subdirectory prosimy o wiadomość. Doradzimy najprostszy sposób.

Czy skan jest bezpieczny? Nie uszkodzi strony?+

Tak. Skan jest pasywny. Zachowuje się jak zwykły gość. Nie próbujemy exploitów, nie łamiemy haseł, nie wysyłamy inwazyjnych payloadów. Strona nie odczuje, że tam jesteśmy.

Co robimy z danymi? Gdzie trafiają wyniki?+

Najpoważniejsze znaleziska są widoczne od razu na stronie. Pełny raport PDF można sobie wysłać e-mailem jednym kliknięciem. E-mail zachowamy, aby móc Państwa powiadomić, gdyby na Państwa domenie pojawił się nowy poważny problem. Można się wypisać w dowolnym momencie.

A jeśli znajdziemy krytyczny problem?+

Otrzymają Państwo raport, w którym każdy problem jest wyjaśniony i ma konkretny krok naprawczy. Większość rzeczy zrobi Państwa webmaster. Jeśli nie, prosimy o wiadomość. Chętnie się przyjrzymy.

Czy to kosztuje? Gdzie haczyk?+

Jednorazowy skan jest bezpłatny.

Bezpłatny skan WordPress. Raport PDF z krokami naprawy.

Znajdziemy xmlrpc, debug.log, user enum, odsłonięty wp-config i inne problemy WordPressa. Przy każdym powiemy konkretnie, jaki krok prowadzi do naprawy.