Hushfort
Menü

WordPress sitemin neleri açık ettiğini görmek için nasıl güvenlik kontrolü yaparım?

Yazan: Eureka Studio · Güncellendi

Kısa yanıt

Siteni dışarıdan, oturum açmadan, gerçek isteklerle test et: /wp-login.php, /xmlrpc.php, /wp-json/wp/v2/users, /?author=1 ve /wp-sitemap-users-1.xml adreslerini aç. Her biri bir giriş kapısının açık olup olmadığını ya da bir kullanıcı adının sızıp sızmadığını gösterir. Bunları bir tarayıcıyla ya da curl ile çalıştırabilir veya bir tarama eklentisine çalıştırtıp bulduklarını adıyla söyletebilirsin.

Adımlar

  1. 1Adım 1

    Gizli bir pencere ya da bir terminal aç

    Kendin olarak değil, bir yabancı olarak test et. Oturum açmış istekler herkesin gördüğünden fazlasını görür; bu yüzden her zaman oturum kapalıyken kontrol et.

    Bir botun atacağı beş istek
    curl -sI https://yoursite.com/wp-login.phpcurl -s  https://yoursite.com/xmlrpc.phpcurl -s  https://yoursite.com/wp-json/wp/v2/userscurl -sI https://yoursite.com/?author=1curl -sI https://yoursite.com/wp-sitemap-users-1.xml

  2. 2Adım 2

    Giriş kapılarını kontrol et

    wp-login.php bir giriş formu gösteriyorsa varsayılan giriş herkese açıktır. xmlrpc.php "accepts POST requests only" cevabı veriyorsa ikinci bir giriş kapısı da açık demektir.

    yoursite.com/xmlrpc.php adresinin cevabı: XML-RPC server accepts POST requests only

  3. 3Adım 3

    Sızan kullanıcı adlarını kontrol et

    /wp/v2/users adresinden gelen bir JSON listesi, ?author=1 adresinden /author/ad/ adresine bir yönlendirme ya da bir kullanıcı site haritası; hepsi giriş adlarını ele verir.

    demo-admin giriş adını gösteren herkese açık REST kullanıcı listesi

  4. 4Adım 4

    Tam tablo için Yüzey Taraması'nı çalıştır

    Hushfort'ta Genel Durum ekranını aç ve Yüzey Taraması altındaki Yeniden tara'ya bas. Sitene gerçek istekler gönderir ve bulduğu her kullanıcı adını tek tek söyler.

    3 açık noktalı Yüzey Taraması: XML-RPC açık, REST kullanıcı listesi ve yazar taraması demo-admin adını açık ediyor

  5. 5Adım 5

    Bulduklarını kapat, sonra yeniden tara

    Yüzey Daraltma'yı aç ve Yeniden tara'ya bas. Kırmızı olan kapılarda artık yeşil bir onay işareti görünür; kalan her şey önerilen bir düzeltmeyle Dikkat olarak işaretlenir.

    Yüzey Daraltma'dan sonra Yüzey Taraması: XML-RPC, REST kullanıcı listesi, yazar taraması ve site haritası yazar listesi kapalı

Neden önemli

Güvenlik tavsiyelerinin çoğu anahtarlarla ilgilidir: şunu aç, bunu kapat. Ama bir anahtar sana ne istediğini söyler, ne olduğunu değil. Bir önbellek katmanı eski bir cevabı sunuyor olabilir. Bir CDN kuralı bir dosyayı WordPress isteği hiç görmeden engelliyor olabilir. Bir eklenti, başka birinin kapattığı bir şeyi yeniden açıyor olabilir. "Sitem neleri açık ediyor?" sorusunun tek dürüst cevabı, siteye bir yabancının soracağı gibi sormaktır.

İyi haber: giriş tarafında kontrol edilmeye değer şeylerin listesi kısa. Botlar her WordPress sitesinde aynı birkaç adrese bakar:

Adres Açıksa neyi ele verir
/wp-login.php, /wp-admin Varsayılan giriş formunu
/xmlrpc.php system.multicall ile toplu tahmine açık ikinci bir giriş kapısını
/wp-json/wp/v2/users Yazarların ve giriş slug'larının listesini
/?author=1 /author/giris-adi/ adresine bir yönlendirmeyi
/wp-sitemap-users-1.xml Giriş slug'larını içeren yazar arşivi adreslerini

Bunların hiçbiri tek başına felaket değildir. Bir araya geldiklerinde ise bir bota bir ad listesi ve onları deneyeceği iki kapı verirler. Hangilerinin açık olduğunu bilmek, onları doğru sırayla kapatmanı sağlar: önce kapılar, sonra adlar.

Sık yapılan hatalar

  • Oturum açıkken test etmek. WordPress oturum açmış kullanıcılara daha fazlasını gösterir. Gizli bir pencere ya da curl kullan.
  • Önbellekteki sayfayı test etmek. Bir ayarı yeni değiştirdiysen önce sayfa önbelleğini ve CDN önbelleğini temizle; yoksa eski cevabı görürsün.
  • İlk yeşil ışıkta durmak. XML-RPC açık kalırken giriş formunu kapatmak, gördüğümüz en yaygın yarım çözümdür.
  • Tam bir güvenlik denetimi beklemek. Bu kontroller içeri giden yollarla ilgilidir. Kötü amaçlı yazılım, dosya değişiklikleri ya da eski eklentiler hakkında hiçbir şey söylemezler.

Eklentisiz

  1. adımdaki beş curl komutu elle yapılan yöntemdir ve bilmeye değer. Sonuçları şöyle oku:
  • wp-login.php için HTTP/2 200: varsayılan giriş herkese açık. 404: gizli.
  • xmlrpc.php adresinden XML-RPC server accepts POST requests only.: uç nokta canlı. Girişin kabul edilip edilmediğini görmek için bir test hesabıyla wp.getUsersBlogs çağrısı göndermen gerekir.
  • /wp/v2/users adresinden "slug" alanları içeren bir JSON dizisi: kullanıcı adları herkese açık. 401 ya da boş bir dizi: kapalı.
  • ?author=1 adresinden Location: /author/ad/: bir sızıntı. Bir botun kaç kullanıcı toplayabileceğini görmek için 2, 3 diye devam et.
  • Kullanıcı site haritasında 200: yazar adresleri listeleniyor.

Dezavantajı zaman ve yorum gerektirmesi. Her değişiklikten sonra tekrarlaman gerekir ve XML-RPC girişini düzgün test etmek XML'i elle hazırlamak demektir.

Bir şeyler ters giderse

  • Tarama "açık" diyor ama sen kapattın. Sayfa ve CDN önbelleklerini temizleyip yeniden tara. Hâlâ açıksa başka bir eklenti ya da bir sunucu kuralı ayarı eziyor olabilir.
  • Tarama sitene ulaşamıyor. Bazı barındırma firmaları bir sitenin kendine istek göndermesini (loopback) engeller. Firmandan loopback isteklerine izin vermesini iste ya da curl yöntemini dışarıdan kullan.
  • Sağlamlaştırmadan sonra bir kullanıcı adı hâlâ sızıyor. Temanın yazar kutusunu ve SEO eklentilerinin yazar site haritasını kontrol et. Tema yazarın görünen adını basıyorsa onu değiştir.

Hushfort ile

Yüzey Taraması, ücretsiz WordPress güvenlik eklentisi Hushfort Security'nin Yüzey Daraltma panelinde yer alır. Tıpkı elle yapılan yöntem gibi sitenin gerçekte neleri açık ettiğini gerçek isteklerle ölçer ve bulduğu kullanıcı adlarını tek tek listeler. Her bulgu, onu kapatan bir Hushfort katmanına karşılık gelir:

Yüzey Taraması'nı, giriş sayfası gizli olduğu halde XML-RPC üzerinden parola denemeleri almaya devam eden bir mağazadan sonra geliştirdik. Ayar düzgün görünüyordu; açık kapıyı yalnızca gerçek bir istek gösterdi.

Sık sorulan sorular

Kendi WordPress sitemi taramak yasal mı?

Evet, kendi sitene normal istekler göndermekte bir sakınca yok. Yalnızca sahibi olduğun ya da test etme izni aldığın siteleri test et.

Neden ayarları okumak yerine gerçek isteklerle test etmeli?

Ayarlar bir şey söylerken bir önbellek, bir CDN kuralı, başka bir eklenti ya da bir tema başka bir şey yapıyor olabilir. Gerçek bir istek, bir ziyaretçinin gerçekte ne aldığını gösterir.

Bu kontrol kötü amaçlı yazılımları ya da açığı olan eklentileri bulur mu?

Hayır. Kapıları ve kullanıcı adı sızıntılarını kontrol eder. Kötü amaçlı yazılım ve bilinen açık taraması farklı bir araç gerektirir; Hushfort bunları yapmaz.

Ne sıklıkla kontrol etmeliyim?

Eklenti kurduğunda ya da kaldırdığında, tema değiştirdiğinde, barındırma firmanı değiştirdiğinde ya da CDN kurallarını değiştirdiğinde. Açık edilenlerin sessizce değiştiği anlar bunlardır.

İlgili rehberler

Hata bildir ya da özellik iste

Mesajın doğrudan Hushfort’u geliştiren ekibe gider.

Konu ne?

Yalnızca sana yanıt vermek için kullanılır.

Bu bilgileri yalnızca sana yanıt vermek için kullanırız. Gizlilik