Jak wykryć wtyczki WP używane w witrynie

Czy w ogóle możliwe jest wykrycie listy wtyczek używanych na stronie WP?

Poza tym, poza moim początkowym przeczuciem, jak mogę potwierdzić fakt, że blog jest rzeczywiście obsługiwany przez WP?

Zwykle można wykryć sam WordPress, sprawdzając kod źródłowy witryny dla metatagu generatora WordPress:

<meta name="generator" content="WordPress 3.0.1" />

Jednak niektóre witryny usuwają ten tag, aby ukryć fakt , że działają WP.

Nie ma jednak niezawodnego sposobu na wykrycie listy wtyczek działających w witrynie. IMO to dodatkowa premia za bezpieczeństwo - nie wszyscy programiści tak chętnie aktualizują swoje systemy, gdy coś się psuje (lub pojawiają się luki w zabezpieczeniach), jak zespół podstawowy ... jeśli wtyczka ujawnia potencjalną słabość mojego systemu, ostatnia myśl Chcę to ogłosić.

Jednak każda wtyczka, która dodaje kod do wyświetlacza (dodawanie skryptów, stylów, metatagów itp.), Może się wywoływać. Większość skryptów i stylów zostanie ujawniona /wp-content/plugins/{plug-in name}/w adresie URL. Niektóre inne systemy frontonu używają nazwy wtyczki w komentarzach HTML, takich jak <!-- Begin Super Cool Plug-in Code -->.

Ale generalnie nie ma łatwego sposobu na wygenerowanie listy wtyczek używanych w witrynie, chyba że: a) już wiesz, których wtyczek szukać, lub b) właściciel witryny chce, abyś wiedział.

Dodałbym również, aby szukać w kodzie źródłowym wywołań do ich lokalizacji motywu, która domyślnie byłaby /wp-content/themes/[themename]. Możesz także spróbować załadować domyślne pliki WP pozostałe z instalacji, takie jak license.txtlub, readme.htmlale jeśli są one wystarczająco sprytne, aby ukryć wtyczkę i lokalizacje motywów, prawdopodobnie również je usunęły.

Aby cofnąć się i dodać do tego, co wszyscy powiedzieli, wydaje się, że istnieje kilka sposobów na węszenie wersji WordPress, motywu i wtyczek innych osób.

Wersja WordPress:

1. Można to znaleźć w metatagu w głowie w postaci <meta name="generator" content=
2. Można to również często znaleźć w stopce, chociaż czasami komentowane jest tam, gdzie nadal można je wyświetlić w kodzie HTML

Motyw WordPress:

1. Najprościej jest wyświetlić źródło i poszukać arkusza stylów motywu, który będzie zawierał wszystkie informacje o motywie (nazwa motywu, autor, strona autora itp.)
2. Często znajduje się to również w stopce bezpłatnych motywów, dzięki czemu pierwotny programista może uzyskać bezpłatny link z powrotem do swojej witryny

Wtyczki WordPress:

1. Najłatwiej jest poszukać strony „Używam tych wtyczek WordPress”, którą robią niektórzy blogerzy.
2. Możesz także przejrzeć kod źródłowy i poszukać wszelkich skryptów i arkuszy stylów, które można załadować, a także wszelkich unikalnych identyfikatorów lub nazw klas wstawianych przez wtyczki. Tak class='socialize', <link rel="stylesheet" href=".../wp-content/plugins/socialize/socialize.css" type="text/css" /> i <script type="text/javascript" src=".../wp-content/plugins/socialize/socialize.js"></script> to wszystko za podpowiedzi, że temat jest za pomocą wtyczki o nazwie Socialize.

Istnieje kilka narzędzi, które brutalnie wymuszą wszystkie znane wtyczki wordpress.

Zasadniczo po prostu próbują uzyskać dostęp do / wp-content / plugins / $ pluginname, a jeśli dostaniesz zakaz, znajdziesz wtyczkę, jeśli jest to 404, to wtyczka nie jest zainstalowana.

http-wp-plugins.nse - robi to skrypt nmap

http://code.google.com/p/cms-explorer/ - podobnie jak to narzędzie

Wygląda na to, że ta witryna korzysta z wcześniej wymienionych metod odczytu w celu wykrycia wtyczek http://hackertarget.com/wordpress-security-scan/

dodając do tego, co zostało powiedziane:

wykrywanie WP: spróbuj dołączyć / wp-admin do adresu strony, może go nie zmienili

wykrywanie wtyczek: Firebug - rozszerzenie firefox :)