WPScan is een gratis WordPress vulnerability scanner voor het testen van de beveiliging van je blog of website. Door gebruik te maken van deze scanner kun je achterhalen hoe veilig jouw website is en op welke punten verbetering wenselijk is.

WPscan

WPscan is een Linux applicatie welke in de onderstaande distributions standaard wordt meegeleverd. Voor instructies om WPscan handmatig te installeren kun je kijken op: https://wpscan.org/

  • BackBox Linux
  • Kali Linux
  • Pentoo
  • SamuraiWTF
  • BlackArch

De applicatie is niet geschikt voor gebruik in Windows. Voor de MAC is WPscan beschikbaar in de Homebrew package manager. In dit artikel maken we gebruik van WPscan in de Kali Linux distribution.

Updaten

Voor je een scan gaat uitvoeren is het altijd raadzaam de meest recente updates te installeren. Hierdoor beschik je over de meeste recente informatie waarmee zoveel mogelijk problemen gevonden kunnen worden. Voer hiervoor het onderstaande commando uit om het update proces te starten.

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-1

 

wpscan --update

WPscan scan starten

Het is binnen WPscan mogelijk om diverse scans uit te voeren waarmee verschillende soorten informatie achterhaald kan worden. In de onderstaande voorbeelden behandelen we enkele van deze opties. Voor een optimaal resultaat kun je meerdere scans uitvoeren zodat er zoveel mogelijk informatie gevonden kan worden.

Non-intrusive scan

Voor het uitvoeren van een non-intrusive scan gebruiken we alleen de parameter “–url” zodat bekend is welke site gescanned moet worden. Er wordt gescanned naar zoveel mogelijk informatie die over de betreffende WordPress website achterhaald kan worden. Na het starten van de scan wordt er om een bevestiging gevraagd voor het uitvoeren van een redirect van HTTP naar HTTPS. Zodra dit akkoord is bevonden wordt de scan gestart.

wpscan --url 'website URL'

 

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-2

Na het afronden van de scan kunnen de resultaten worden bekeken. Op de bovenstaande afbeeldingen zijn direct al enige interessante zaken verschenen. De scan heeft een gebruiker kunnen achterhalen “Jasper”. Deze informatie kunnen we voor een vervolg scan gebruiken (zie hoofdstuk: Password brute force).

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-4

 

Ook is er geconstateerd dat “Directory Listing” is ingeschakeld. Dit geeft de mogelijkheid om de inhoud van mappen te bekijken waarmee extra informatie achterhaald kan worden.

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-3

 

In de resultaten wordt ook melding gemaakt van een probleem gevonden in een van de plugins. Wanneer WordPress en geïnstalleerde plugins niet regelmatig worden geupdate blijven bekende problemen bestaan. Deze problemen kunnen door hackers worden misbruikt voor het inbreken op de website.

Vulnerable plugin scan

Door “–enumerate vp” als parameter toe te voegen, worden enkel de plugins met vulnerabilities weergegeven in de resultaten. Dit zorgt voor minder output in de resultaten. Echter is dit wel zinvolle output waarmee we iets kunnen.

wpscan --url 'website URL' --enumerate vp

 

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-5

In de bovenstaande resultaten zie je dat er 2 plugins zijn gevonden met vulnerabilities.

Password brute force

Door gebruik te maken van de parameter “–wordlist” wordt het mogelijk brute force aanval uit te voeren op een gebruiker. In de non-intrusive scan hebben we al een gebruikersnaam kunnen achterhalen die we hiervoor kunnen gebruiken. Door een 2e parameter “–username” kunnen we deze gebruiker specificeren.

wpscan --url 'website URL' --wordlist /root/word.list --username admin

 

JPortal.nl-Blog-WPscan-Vulnerability-Scanner-6

In de resultaten van het bovenstaande voorbeeld is het gelukt om het wachtwoord van de gebruiker “Jasper” te achterhalen. Dit is gelukt door gebruik te maken van een woordenlijst. Woordenlijsten zijn niets meer dan documenten met wachtwoorden. Er zijn diverse van deze lijsten op internet terug te vinden met veel gebruikte wachtwoord. Door lijsten samen te voegen vergroot je kans op een geslaagde brute force. Ook is het mogelijk dergelijke lijsten zelf te genereren waarmee je een aanval uitvoert.

Geef een reactie

Het e-mailadres wordt niet gepubliceerd. Vereiste velden zijn gemarkeerd met *