WPScan

O WPScan examina um site WordPress pelo lado de fora e aponta a versão do núcleo, os plugins e temas instalados e as falhas conhecidas de cada um. As vulnerabilidades vêm do WordPress Vulnerability Database, consultado por uma API do wpscan.com.

Para que serve

• Identificar a versão do WordPress e do tema de um site seu.
• Listar plugins e marcar os que têm falha registrada, com -e vp.
• Enumerar nomes de usuário e pastas de backup esquecidas no servidor.
• Fazer uma varredura menos intrusiva com --stealthy.

Como começar

No macOS, brew install wpscanteam/tap/wpscan. Em Linux, instale compilador C e cabeçalhos do Ruby 3.3 ou mais novo e rode gem install wpscan; no Kali, use o gerenciador de pacotes. Com Docker:

docker pull wpscanteam/wpscan
docker run -it --rm -v wpscan-db:/wpscan/.cache/wpscan/db wpscanteam/wpscan --url https://target.tld/ --enumerate u

Para ver as falhas, crie conta no wpscan.com e passe o token por --api-token ou pela variável WPSCAN_API_TOKEN. Varrer site alheio sem consentimento pode ser ilegal, conforme o país, diz o README. Use o WPScan só em sites seus ou com autorização por escrito do dono.

Licença e custo

Pentesters, distribuições de teste como o Kali, quem varre os próprios sistemas e qualquer uso não comercial rodam o WPScan sem pagar, pela WPScan Public Source License. É uma licença própria, fora da definição de open source. Oferecer o scanner como serviço gerenciado, vendê-lo dentro de um produto ou usá-lo como serviço de valor agregado exige licença comercial.

O plano Researcher da API é gratuito, para fins não comerciais, com 25 chamadas por dia; a versão do WordPress, cada plugin e cada tema gastam uma. Esgotada a cota, o scanner segue sem dados de vulnerabilidade. No Enterprise, o preço sai por orçamento, conforme o número de sites.

Quando vale a pena

Quem administra poucos sites WordPress descobre com ele, numa varredura periódica, o plugin vulnerável que ficou para trás. O guia de segurança WordPress completa o trabalho com o endurecimento do painel e do servidor. Agências com muitos clientes esbarram na cota e, se venderem a varredura, na cláusula comercial. Para olhar de dentro do painel, o plugin gratuito Jetpack Protect usa os mesmos dados.