wordpress-penetration-testing について
wordpress-penetration-testingは、許可を得たWordPressのセキュリティ評価や管理された学習環境向けのスキルです。必要なツール、テスト上の制約、通信量の管理を示し、能動的な操作の前に必須の確認手順を設けています。
主な機能
- 01許可済みWordPress評価のガイド
- 02ツールと知識の前提条件
- 03範囲を定めたテスト制約
- 04通信量と停止条件の計画
- 05能動的テスト前の確認ゲート
活用シーン
- 01許可されたWordPress評価の準備
- 02管理されたラボでの防御検証
- 03システム所有者との評価通信計画
- 04許可がない場合の防御ガイダンス
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/wordpress-penetration-testingを入力して読み込まれたか確認します。
同梱ファイルreferences/detailed-guide.md
詳細
⚠️ 許可された用途のみ このスキルは、教育目的または許可されたセキュリティ評価にのみ使用してください。 このツールを使用する前に、システム所有者から明示的な書面による許可を得る必要があります。 このツールの不正使用は違法であり、固く禁じられています。
必須の確認ゲート 対象に対して調査、悪用、変更、永続化、データの抽出、または認証情報へのアクセスを試みるコマンドを実行する前に、次の手順を行ってください。
- ユーザーに、対象の正確な URL、IP、アカウント、またはリソースを明示するよう求めます。
- 書面による許可と、許可されたスコープを確認するようユーザーに求めます。
- 実行するコマンドを正確に示し、予想される影響を説明します。
- 現在の会話内で明示的な確認が得られるまで待ちます。
その確認が得られるまでは、読み取り専用の対応にとどめ、防御に関するガイダンスのみを提供してください。サンドボックス、使い捨て VM、または管理されたラボ環境を優先してください。
許可された用途のみ：このスキルは、許可されたセキュリティ評価、防御的な検証、または管理された教育環境でのみ使用してください。
WordPress のペネトレーションテスト
詳細ガイド
このスキルを実行する前に、詳細ガイドを読んでください。完全な手順と参考資料が記載されています。安全性、前提条件、検証に関する要件は必須として扱ってください。対象を絞った作業では関連するセクションを読み込み、エンドツーエンドで作業する場合はガイド全体を読んでください。
前提条件
必要なツール
- WPScan（Kali Linux にプリインストール済み）
- Metasploit Framework
- Burp Suite または OWASP ZAP
- 初期調査用の Nmap
- cURL または wget
必要な知識
- WordPress のアーキテクチャと構造
- Web アプリケーションテストの基礎
- HTTP プロトコルの理解
- 一般的な Web の脆弱性（OWASP Top 10）
制約と制限事項
法的な考慮事項
- テストの前に書面による許可を得る
- 定められたスコープの範囲内にとどまる
- すべてのテスト活動を記録する
- 責任ある開示に従う
技術的な制限事項
- WAF によってスキャンがブロックされる場合があります
- レート制限によりブルートフォースが妨げられる場合があります
- 一部のプラグインでは偽陰性が発生する場合があります
- XML-RPC が無効になっている場合があります
評価時のトラフィック制御
- 送信元 IP、リクエストレート、メンテナンス時間帯、停止条件、使用するプロキシについて、所有者と合意してください。
- リクエストを抑制してください。
--throttle 1000は、インストール済みの WPScan のヘルプで確認する例です。 - スキャンがブロックされた場合は、それを検出事項またはスコープ上の制限として扱ってください。合意済みの制御を回避するために、プロキシを切り替えたり、認証チャネルを変更したりしないでください。
使用する場面
このスキルは、概要で説明されているワークフローまたはアクションを実行する場合に適用できます。