ตรวจสอบช่องโหว่ Wordpress ก่อนจะโดน Hack

สืบเนื่องมาจากช่วงหลังๆมานี่มีลูกค้าแจ้งมาว่าเว็บไซต์โดนแฮ็กและให้ทางผมช่วยเช็คให้ทีว่าโดนแฮ็กเพราะอะไรซึ่งผมตรวจสอบแล้วส่วนใหญ่ 70-80% ได้ใช้ Wordpress และก็มีช่องโหว่กันทั้งนั้นสิ่งที่จะมานำเสนอในบทความนี้เพื่อเป็นแนวทางในการป้องกันเบื้องต้น ไม่ได้มีเจตนาที่จะนำเสนอบทความเพื่อให้ไปใช้ในทางที่ผิดนะครับ สิ่งที่จะนำเสนอในบทความนี้ คือ WPScan ซึ่งเป็น Tools ที่รวบรวมช่องโหว่ (public exploit) ของ Wordpress มาไว้ให้ค่อนข้างครบและมีการอัพเดทอย่างสม่ำเสมอซึ่งการทำงานในการใช้หาช่องโหว่ที่ว่าคือจะใช้ HTTP Requese ไปยัง Path ต่างๆจากฐานข้อมูลหากเจอ Plugin หรือ Themes ที่มีในฐานข้อมูลว่ามีช่องโหว่ก็จะแสดงผลลัพท์แก่ผู้ใช้ ซึ่งการใช้งานแต่ละครั้งจะทำให้มี Access Log จำนวนมากหากนำไปใช้ในการโจมตีก็จะโดนตามตัวได้อย่างง่ายดายจึงไม่แนะนำให้ไปใช้กับเว็บไซต์ที่ไม่ได้รับอนุญาตินะครับและความสามารถของ Tools นี้ที่เป็นในเชิงของการโจมตีผมจะไม่พูดถึงแล้วกันนะครับ วิธีการติดตั้งดูได้จาก ที่นี่ หลังจากติดตั้งแล้ว
ทดลองรันโปรแกรมด้วยคำสั่ง wpscan (หรือเรียก full path เช่น /usr/bin/wpscan)