WordPress audit · 8 kontrol len pre WordPress

WordPress audit zadarmo. 8 kontrol len pre WordPress.

Sken zameraný len na WordPress. Nájdeme typické diery, ktoré bežné skenery prehliadnu: zabudnuté zálohy wp-config, verejný zoznam používateľov, čitateľný debug.log a ďalšie.

Pasívny sken · žiadna registrácia · výsledky do 30 sekúnd

https://

Sken trvá 30 sekúnd. PDF report si potom vyžiadajte tlačidlom na výsledkoch.

Ako to funguje

3 kroky · 30 sekúnd

Zadáte doménu s WordPressom

WordPress rozpoznáme sami. Verziu ani šablónu zadávať nemusíte.

8 kontrol len pre WordPress

xmlrpc, výpis používateľov cez REST, archív autorov, debug.log, výpis adresára uploads, readme.html, license.txt a záloha wp-config.

Výsledky a PDF report

Najzávažnejšie nálezy uvidíte hneď. Kompletný PDF report vám pošleme e-mailom zadarmo. Každý nález v ňom vysvetlíme a pridáme krok na opravu.

Čo pri WordPresse kontrolujeme

WordPress má vlastné typické problémy. Všeobecný skener ich často prehliadne, my ich hľadáme cielene.

WP RESTkritické

Výpis používateľov cez /wp-json/wp/v2/users

Ktokoľvek si stiahne zoznam všetkých autorov vrátane user_login. To je polovica cesty k útoku hádaním hesiel.

GET /wp-json/wp/v2/users → ["admin","editor"]

Odhalenékritické

debug.log čitateľný z internetu

WP_DEBUG_LOG = true zapisuje do /wp-content/debug.log. Bývajú v ňom databázové dopyty, cesty, niekedy aj heslá.

GET /wp-content/debug.log → 200 OK

xmlrpcvarovanie

XML-RPC je zapnutý

Cez xmlrpc.php útočník vyskúša 1000 hesiel jednou požiadavkou. 99 % webov na WordPresse ho nepotrebuje.

POST /xmlrpc.php → system.listMethods OK

Výpisvarovanie

Adresár uploads vypisuje svoj obsah

Návštevník vidí všetky nahraté súbory vrátane PDF s faktúrami alebo testovacími obrázkami.

GET /wp-content/uploads/ → Index of

Súboryvarovanie

readme.html dostupný z internetu

Súbor potvrdí, že web beží na WordPresse, a pri starších inštaláciách prezradí aj verziu. Stačí ho zmazať alebo zablokovať.

GET /readme.html → 200 OK

Zálohavarovanie

wp-config.php.bak v koreni webu

Ktokoľvek si stiahne prístupy do databázy.

GET /wp-config.php.bak → 200 OK (4.3 KB)

O Vulscan

Spravujeme WordPress weby pre klientov roky a vieme, kde bežné pluginy a šablóny nechávajú slabé miesta. Tento sken hľadá to, čo sme v praxi videli ako skutočný útok.

hello@vulscan.app LinkedIn

Pasívny sken

Žiadne invazívne testy. Správame sa ako bežný návštevník, web našu kontrolu nepocíti.

Lokálny kontext

Poznáme miestne hostingy, CMS aj registrátorov, takže odporúčania dávame konkrétne.

Skutočná pomoc

Keď nálezu nerozumiete, napíšte nám. Odpovieme.

Časté otázky

Funguje to aj pre WordPress multisite?+

Áno, ale skenujeme len hlavnú doménu. Pri sieti na subdoménach alebo v podadresároch nám napíšte. Poradíme, ako na to najjednoduchšie.

Je sken bezpečný? Nepoškodí to web?+

Áno. Sken je pasívny a správa sa ako obyčajný návštevník. Neskúšame exploity, neprelamujeme heslá a neposielame útočné požiadavky. Web našu kontrolu nepocíti.

Čo robíte s dátami? Kam idú výsledky?+

Najzávažnejšie nálezy uvidíte hneď na webe. Kompletný PDF report si pošlete na e-mail jedným kliknutím. E-mail si necháme, aby sme vás mohli upozorniť, keby sa na vašej doméne objavil nový vážny nález. Z odberu sa môžete kedykoľvek odhlásiť.

Čo keď nájdete kritický problém?+

Dostanete report, kde je každý problém vysvetlený a má konkrétny krok na opravu. Väčšinu vecí zvládne váš webmaster. Ak nie, napíšte nám. Radi sa na to pozrieme.

Stojí to peniaze? Kde je háčik?+

Jednorazový sken je zadarmo.

Sken WordPressu zadarmo. PDF report s postupom opravy.

Nájdeme xmlrpc, debug.log, výpis používateľov, odhalený wp-config a ďalšie problémy WordPressu. Pri každom povieme, ako ho opraviť.