WPScan - Scanner de vulérabilité WordPress

[The_Keeg]

Plop tout le monde !

Je vais vous présentez un scanner, WPScan, qui permet de scanner des vulnérabilités sur WordPress.

Sommaire :

- Introduction
- Fonctionnalités principales

- Installation
- Apt
- Rpm

- Utilisation
- Lancement
- Commandes

- Conclusion

1x0.0 - Introduction

WPScan est un scanner de vulnérabilité pour WordPress. Ce tool est codé en Ruby (comme Metasploit)
Il est capable de trouver les vulnérabilités présentes sur un site web WordPress, de brute forcer la page admin (sitewp.com/wp-admin/), de lister les plugins utilisés et de vous donner les failles de sécurités associées.

1x1.0 - Fonctionnalités principales

• Énumération (version, plug-in, noms d'utilisateurs)
  
• Crack de mots de passe par Brute-Force
  
• Détection de la version de WordPress
  
• Détection et énumération des plugins vulnérables
  

2x0.0 - Installation

2x1.0 - Apt

Voici comment installer WPScan, les amis de Debian, Ubuntu et autres distributions qui utilisent les paquets "apt" voici comment faire :

sudo apt-get install libcurl4-gnutls-dev libopenssl-ruby
sudo gem install typhoeus xml-simple

Ensuite il va falloir récupérer les sources :

svn checkout http://wpscan.googlecode.com/svn/trunk/ ./wpscan
cd wpscan

2x1.0 - Apt

Si vous êtes plutot Fedora ou autre distributions utilisant les paquets "rpm" voila la solution :

yum install ruby rubygem-xml-simple rubygem-typhoeus subversion

Comme pour les OS basé sous Debian il nous faut le code source donc on va récupérer le code :

svn checkout http://wpscan.googlecode.com/svn/trunk/ ./wpscan
cd wpscan

3x0.0 - Utilisation

3x1.0 - Lancement

Pour lancer WPScan, il faut d'abord que vous lanciez Ruby puis WPScan avec un argument derrière. Voici la ligne de commande :

ruby ./wpscan.rb <argument>

Attention ! Vous devez vous trouvez dans le dossier de WPScan ! Par défaut vous avez juste à faire :

cd wpscan

3x2.0 - Commandes

Le site sur lequel je vais tester ces commandes est un ami. Pour raison d'anonymat je vais floutter le nom de ce site.

Sans doute la commande la plus utile, le commande d'aide :

ruby ./wpscan.rb --help

[spoiler][/spoiler]

Pour lancer un simple audit de sécurité :

ruby ./wpscan.rb --url www.targetwp.com

Voici une image :

[spoiler][/spoiler]

Nous allons faire une énumération des plug-in :

ruby ./wpscan.rb --url www.targetwp.org --enumerate p

[spoiler]
[/spoiler]

Une énumération des utlisateurs, ça va nous être utile quand nous voudront faire du brute force par exemple. La commande :

ruby wpscan.rb --url www.targetwp.org --enumerate u

Voici une petite image :

[spoiler][/spoiler]

Je n'ai laissé que l'utilisateur admin et masqué les autres pour raison d'anonymat.

Le brute force ! On va utiliser un dictionnaire, voici la commande :

ruby ./wpscan.rb --url www.targetwp.org --wordlist <dico> --username <id>

Bien entendu à la place de dico, il faut mettre un dictionnaire (logique O.o) il y a darkc0de.lst qui est pas mal du tout, voici de quoi le télécharger :

http://www.2shared.com/file/fQPVRTKA/darkc0de.html

Et à la place de "id" mettez l'identifiant de l'admin, souvent admin. Vous pouvez faire une énumération des utilisateurs (voir plus haut).

Je n'ai malheureusement pas pu tester le brute force car l'admin du site web a tout simplement refusé.

4x0.0 - Conclusion

Bon voila c'est un petit tuto sur WPScan, je vous invite a regarder sur internet pour parfaire ce tuto, il y a de nombreuses vidéos qui tournent, j'essaierais d'en faire une.

Cordialement,

The_Keeg

[Dobry]

Symathique, je connaissais WPScan, mais je ne l'ai jamais utilisé, en tout cas la procédure est très bien décrite ici

[The_Keeg]

J'essaierais d'en faire un sur joomscan

[Spyke]

Y en a des millions sur le net des scripts comme ça , si on devait passer notre temps a faire des tutos pour les expliquer ont aurait pas fini. C'est bien de t'investir mais pour moi perso je trouve ça un peu décalé sur un site White Hate, car on apprends vraiment rien au final mise a part utiliser un script. Mais bon je dis ça je dis rien, vu que j'ai plus tellement de contact avec le chef, et que visiblement ça ne choque que moi. Pour ce genre de tuto on devrait ouvrir une partie spécifique au forum.