WordPress الأمان

قم بتأكيد WordPress قبل الاختبار

تتحقق VICE من النطاق الذي تم التحقق منه بحثًا عن صفحة WordPress ورأس الصفحة وعلامات الأصول العامة قبل تشغيل التحقيقات المركزة. يؤدي هذا إلى إبقاء النتيجة مرتبطة بسلوك نظام إدارة المحتوى (CMS) المرصود بدلاً من تسمية التكنولوجيا المخمنة.

إذا تعذر تأكيد WordPress، فإن التدقيق يبلغ عن وجود قيود على التغطية بدلاً من اختراع درجة أمان أو ثغرة أمنية.

مراجعة التعرض للهوية العامة

يمكن لـ WordPress الكشف عن أسماء الحسابات من خلال عمليات إعادة توجيه المؤلف ونقطة نهاية مستخدمي REST العامة. تسجل VICE السلوك الملحوظ حتى تتمكن من مقارنته بنموذج النشر المقصود بالموقع.

• عمليات إعادة توجيه أرشيف المؤلف التي تكشف اسم تسجيل الدخول أو اسم العرض.
• الاستجابات العامة من نقطة نهاية مستخدمي REST.
• علامات الأدلة التي تحدد المسار الذي تم اختباره دون تخزين محتوى الاستجابة الحساسة.

افحص XML-RPC وتسجيل الدخول والكرون

إمكانية الوصول وحدها لا تثبت الاستغلال. يجب أن تصف كل مشكلة تم اكتشافها السلوك الأقوى الذي تمت ملاحظته، وثقته، والتحكم الموصى به.

• سلوك XML-RPC يمكن الوصول إليه والذي يمكنه زيادة كفاءة محاولات كلمة المرور.
• مسار تسجيل الدخول الافتراضي WordPress وسلوكه العام.
• وصول عام HTTP إلى نقطة نهاية WordPress cron.

إطلاق التدقيق المركز

افتح WordPress في مساحة عمل المجال التي تم التحقق منها وابدأ الفحص. يظهر التشغيل في قائمة التدقيق المركزية بنفس الحالة والمحفوظات مثل كل تدقيق مُدار.

تتم إضافة المشكلات القابلة للتنفيذ إلى عرض المشكلات المكتشفة في المجال. يظل WordPress متاحًا أيضًا داخل عمليات تدقيق الأمان الكاملة والمخصصة.

قراءة التعرض في السياق

قد يكون اسم المؤلف العام مقصودًا على موقع النشر، بينما يؤدي إعادة استخدام معرف تسجيل الدخول في مكان آخر إلى زيادة المخاطر. قم بمراجعة الأدلة وفقًا لنموذج الحساب وضوابط المصادقة والمتطلبات التشغيلية.

يعتبر الطلب الفاشل أو الموقع الذي لا يمكن الوصول إليه أحد قيود التغطية. إنها ليست مشكلة حرجة تم اكتشافها WordPress.

إصلاح وإعادة الاختبار

أعد تشغيل تدقيق WordPress المركّز من نفس مساحة العمل وقارن التغطية المكافئة قبل وضع علامة على المشكلة المكتشفة والتي تم حلها.

• تقييد تعداد المستخدمين العامين عندما لا يتطلب الموقع ذلك.
• قم بتعطيل XML-RPC في حالة عدم استخدامه، أو قم بحماية الأساليب المطلوبة من خلال مصادقة قوية وحدود للمعدلات.
• قم بحماية تدفقات تسجيل الدخول من خلال حدود المعدلات وبيانات الاعتماد القوية والمصادقة متعددة العوامل حيثما كان ذلك متاحًا.
• قم بتفضيل برنامج جدولة الخادم لـ WordPress cron عندما يكون تشغيل HTTP العام غير ضروري.