Utilisez le scanner de vulnérabilité WP Scan. 

Lorsque vous avez un point d’exclamation rouge, cela signifie qu’il est important de corriger l’erreur. En mettant à jour WordPress ou ses plugins ou en supprimant des fichiers. La plupart d’entre nous mettent de côté le fichier « readme.html ». Supprimez-le, il donne vos informations de version WP.

Ensuite dans la deuxième partie de l’analyse vous avez tous les plugins identifiés par wpscan installés sur votre blog. Encore une fois, lorsque vous voyez un point d’exclamation rouge, vous devez le corriger.

[error]Conseils de pros ! Habituellement, vous verrez ici des répertoires où nous pouvons répertorier les plugins Codecolorer, ce qui peut être une source d’ennui. Pour éviter cela, vous pouvez simplement ajouter le fichier index.htm à la racine du répertoire des plugins.[/error]

Voici un exemple du contenu du fichier index.htm :

[php]

# Le silence est d’or.
?>[/php]

Une autre commande intéressante permet de scanner intégralement les blogs WordPress en listant les utilisateurs, les plugins vulnérables, les thèmes vulnérables connus…

#ruby wpscan.rb –url quick-tutoriel.com –enumerate

Vous pouvez optimiser la détection des vulnérabilités en spécifiant des options supplémentaires, telles que plugin vulnérable (–enumerate vp), utilisateur (–enumerate u), … vous pouvez trouver des détails sur les options ici : http://wpscan.org

La première partie du test restaure les éléments ci-dessus, puis dans la deuxième partie, vous verrez une liste des plugins problématiques et des liens vers des explications de bugs et des correctifs possibles.

• 1: Le nom et la version du plugin en question.
• 2 : Lien Web vers une explication de la vulnérabilité et des correctifs possibles

Après le plugin, wpscan commence à vérifier votre thème, puis il recherchera des fichiers pouce fragile (Timthumb.php est une bibliothèque utilisée par de nombreux thèmes WordPress pour redimensionner automatiquement les images, mais présente de nombreuses vulnérabilités) Le scan finira par lister tous les utilisateurs de la configuration WordPress.

• 1: Liste des fichiers affectés par la vulnérabilité timthumb.
• 2 : Énumère tous les utilisateurs qui existent dans votre configuration.

Comme vous pouvez le voir, cet utilitaire est très puissant. Quick-Tutorial n’est pas responsable de toute utilisation malveillante de ce logiciel. Avant de commencer à analyser tous les blogs WordPress sur le Web, je vous recommande d’analyser votre blog et de corriger les erreurs détectées par wp-scan.

Voici quelques contre-mesures que vous pouvez prendre pour améliorer la sécurité de WordPress.

Modifiez le fichier .htaccess :

• Ajoutez ce code à votre fichier .htaccess pour éviter le bogue de la liste des utilisateurs de votre blog WordPress.

# BEGIN arrêter la vulnérabilité d’énumération des noms d’utilisateur wordpress RewriteCond %{REQUEST_URI} ^/$ RewriteCond %{QUERY_STRING} ^/?author=([0-9]*) #END arrêter le bogue d’énumération des noms d’utilisateur wordpress

• Ajoutez ce code à votre fichier .htaccess pour lutter contre la divulgation du chemin complet (FPD). Cette vulnérabilité permet d’afficher le chemin d’accès complet d’un script vulnérable. Il le fait en injectant des caractères inattendus dans certains paramètres de la page Web. Les plugins ou scripts installés sur votre hôte ne nécessitent pas de caractères injectés et renvoient un message d’erreur avec des informations sur l’erreur et même le chemin complet vers le script cible.

# COMMENCER À CORRIGER LA DIVULGATION DU CHEMIN COMPLET (FPD) php_flag display_errors off # FIN DE CORRIGER LA DIVULGATION DU CHEMIN COMPLET (FPD)

• Bloquez l’accès au répertoire d’installation de WordPress en ajoutant cette ligne à la fin du fichier .htaccess :

# BEGIN FIX DIRECTORY LISTING option tous les index # END FIX DIRECTORY LISTING

• Sécurisez le fichier wp-config.php, il contient tous les paramètres de votre site web (hors plugins), notamment le code d’accès à la base de données. Ajoutez ces lignes à votre fichier .htaccess :

# COMMENCEZ À PROTÉGER WP-CONFIG.PHP ordre autoriser, refuser refuser de tous # END PROTECT WP-CONFIG.PHP

Modifiez le fichier functions.php du thème :

• Ajoutez la ligne suivante au fichier functions.php de votre thème, cela vous permettra de supprimer la version WordPress de cette source, bien que wpscan soit intelligent et utilise plusieurs méthodes pour restaurer la version WordPress. Jusqu’à présent, je n’ai trouvé aucun moyen vraiment efficace de supprimer une version de WordPress.

add_filter(‘get_the_generator_rss2’, ‘__return_false’); add_filter(‘get_the_generator_atom’, ‘__return_false’); remove_action(« wp_head », « wp_generator »);

• Masquez les erreurs de connexion de l’administrateur WordPress. Le message renvoyé par WordPress en cas de problème de connexion est trop explicite. Pour simplifier le message d’erreur, ajoutez la ligne suivante au fichier functions.php de votre thème :

add_filter(‘login_errors’,create_function(‘$error’, « return ‘login error’; »));

Conseils généraux pour WordPress :

• Ajoutez un fichier index.php à vos répertoires de plugins et de thèmes pour éviter de les lister.
• Mettez à jour régulièrement votre WordPress, vos plugins et vos thèmes.
• Sauvegardez régulièrement la base de données MySQL et les fichiers WordPress.
• Utiliser des plugins Askimet (https://wordpress.org/plugins/akismet/) Permet la surveillance et le nettoyage des commentaires indésirables.
• Utiliser des plugins Limiter l’attente de connexion (http://wordpress.org/plugins/limit-login-attempts/) pour empêcher le piratage.

Voici quelques mesures de protection simples qui peuvent améliorer la protection de votre blog WordPress. Et n’oubliez pas de couvrir la porte ! ! ! !

Bien sûr, si vous avez d’autres techniques de protection, n’hésitez pas à les laisser en commentaire ou à m’envoyer un mail via le formulaire de contact Cliquez ici.

c’est tout.