WPScan je CLI pomůcka pro Linux, open source, snadno použitelné pro kontrolu webu s WordPressem zvenčí. Prozradí vám verzi WordPressu, http serveru, jaké pluginy jsou instalované, podívá se na uživatelská jméno, umí zkusit brute force na slabá hesla, zkontroluje jestli není dostupný wp-config.php (včetně různých záloh) a zálohy databáze, zda nejsou dostupné logy od pluginů, otestuje přítomnost readme, wp-cron, povolené registrace uživatelů, přístupnost složek a řadu dalších věci.
To vše doplněné o kontrolu na zranitelnosti – tam budete ale potřebovat na WPscan.com vytvořit účet a pořídit si API key (přidává se do parametrů jako –-api-token klíč, nejde to nějak uložit do WPscan).
Využití API je omezeno na 25 volání denně, lze navýšit pořízením placeného přístupu. “Volání” neznamená jedno spuštění WPscan, to totiž může využít několik volání podle toho co se na webu najde.
Mimo Linuxu (gem install wpscan) můžete provozovat v Dockeru (docker pull wpscanteam/wpscan) na Mac OS přidat přes Homebrew (brew install wpscanteam/tap/wpscan).
Nezapomeňte, že jde to CLI, takže výsledek si případně přesměrujte do souboru nebo použijte –output (-o).
Je dobré si prostudovat dokumentaci, minimálně alespoň otázky okolo režimu enumerace. Nápověda ve wpscan –help
Další tipy týkající se WordPressu
-
TIP#2142: Jak na vlastní WordPress. Co bude chybět z WordPress.com
Po pár letech na WordPress.com zjistíte po přechodu na vlastní WordPress, že to není až tak stejné, jak by se na první dojem mohlo zdát. Chybět a řešit budete muset hodně věcí,…
-
TIP#2139: Jak z WordPressu automaticky sdílet na Linkedin
Sdílet nové příspěvky automaticky na Linkedin je u webů s WordPressem mírná komplikace. Ne všechny nástroje totiž umí sdílet na stránky. Související příspěvky TIP#804: Jak migrovat web z WordPress.org na WordPress.com? Krok…
-
TIP#2129: Praktické postřehy k blokům a widgetům na WordPressu
Od příchodu Guttenbergu je možné na WordPressu využívat různé “aktivní” bloky – vedle základního formátování umí například i zobrazovat přehledy článků (a dalších prvků) či řešit jiné věci. Většinou to funguje bez…
-
TIP#2125: Reusable blocks/Znovu použitelné bloky na WordPressu. Jak se dostat k výpisu a exportu
WordPress s Guttenbergem přinesl reusable block (znovu použitelné bloky). Kupodivu mají stejné rozhraní pro kompletní přehled jako mají Příspěvky či Stránky, ale neznámo proč to není v levém menu. Související příspěvky TIP#804:…
-
TIP#2119: Jak napojit WordPress na Google Analytics
Jedno z nejoblíbenějších řešení je Monster Insights – má ale dvě vady. Je to opravdu “monstrum” a vyžaduje napojení na jejich servery. Na druhou stranu, funguje dobře, poskytuje vše potřebné (základní potřebné,…
-
TIP#2117: Co byste po instalaci WordPressu měli smazat či změnit? install.php – pozor ať nedopadnete špatně
O nutnosti smazat install.php jsem se poučil už před lety, když jsem zprovoznil (na VPSku) můj vůbec první WordPress. Tento soubor jsem nesmazal a někdo (naštěstí hodný) do mě oprávněně rýpnul tím,…
-
TIP#2115: WordPress a XMLRPC? Proč nefunguje aplikace? Je XMLRPC bezpečné? Mám ho zakázat?
Ve většině případů na XMLRPC u WordPressu nenarazíte – zpravidla poprvé v okamžiku, kdy budete chtít zprovoznit mobilní aplikaci a ta se odmítne připojit a jako důvod uvede chybu 403 a zkratku…
-
TIP#2112: Jak na související články (příspěvky) na WordPressu
Pro řadu obsahových webů je dobré mít související příspěvky, ať už pod textem nebo někde v sloupci či patičce. Ideálně tvořené automaticky, protože ručně je to práce navíc. Generování něčeho takového je…
-
TIP#2110: Jak na WordPressu hromadně nahradit něco v článcích (databázi) za něco jiného
Na jednu věc při migraci z WordPress.com na vlastní narazíte velmi snadno. V příspěvcích i stránkách často zůstanou odkazy či obrázky s původní (nebo pracovní) webovou adresou. Ne vždy je totiž zajištěno…
-
TIP#2108: Co se souhlasem s Cookies (consent banner) na WordPressu od roku 2022?
Rok 2022 bohužel přinesl zásadní komplikaci v podobě zákazu prakticky všeho ukládání a zpracování cookies ještě předtím, než se k tomu uživatel vyjádří. Další typické nařízení EU, které řešení šlendriánu bigtechu a…
-
TIP#2105: Jak na WordPressu automaticky hlídat nefunkční odkazy?
Čím déle bude fungovat váš web či blog, tím spíše se postupně začnou objevovat nefunkční odkazy – takové na které návštěvník klikne a nedostane co čekal. Může se stát i to, že…
-
TIP#2104: Kde zjistit, jak je na tom určitý web z pohledu GDPR, cookies a soukromí?
Nová pravidla EU od 1. ledna 2022 dost jasně říkají, že web nesmí uživatelům nadělovat cookies bez jeho souhlasu. Jedinou výjimku mají ty, které jsou nezbytně nutné k provozu. Takže pokud poprvé…
-
TIP#2100: Jak na WordPressu pomocí .htaccess přesměrovat starou doménu na novou?
Když jsem kdysi přesunul Justit.cz věci do Pooh.cz, tak to ještě běželo na WordPress.com. Takže stačilo přidat k Pooh.cz i doménu Justit.cz jako sekundární. A udělalo to přesně co jsem chtěl, cokoliv…
-
TIP#2098: Přidat web do služeb jako Ahrefs, Yandex? Jak nastavit indexaci od Google, Bingu a dalších?
Přidat web do Google Search Console (původní Webmaster Tools) je bez diskuze zásadně užitečná a důležitá věc. Otázkou ale je, zda chcete web mít v dalších službách jako je Ahrefs, Yandex, Bing…
-
TIP#2093: Jak na vyhledávání na webu s WordPressem? Co vás čeká za komplikace?
Vyhledávání je přímo součást WordPressu a funguje poměrně dobře až do momentu, kdy váš web či blog začne mít tisíce článků (příspěvků). U desítek tisíc pak velmi rychle poznáte, že je hledání…
