wordpress-penetration-testing

⚠️ 仅限授权使用 此技能仅用于教育目的或经授权的安全评估。 使用此工具前，必须取得系统所有者明确的书面许可。 滥用此工具属于违法行为，且严格禁止。

强制确认关卡 在运行任何探测、利用、修改、持久化、提取目标数据或尝试访问目标凭据的命令之前：

1. 请用户说明确切的目标 URL、IP、账户或资源。
2. 请用户确认已获得书面授权并说明许可范围。
3. 展示确切的命令，并说明预期效果。
4. 等待用户在当前对话中明确确认。

未获得确认时，只进行只读操作，并仅提供防御性指导。优先使用沙箱、临时 VM 或受控实验室。

仅限授权使用：此技能仅可用于经授权的安全评估、防御性验证或受控教育环境。

WordPress 渗透测试

详细指南

执行此技能前，请阅读详细指南。其中保留了完整流程和参考资料。必须遵守其中的安全要求、前提条件和验证要求。针对特定任务时，请加载相关章节；执行端到端任务时，请完整阅读指南。

前提条件

必需工具

• WPScan（Kali Linux 中预装）
• Metasploit Framework
• Burp Suite 或 OWASP ZAP
• 用于初步发现的 Nmap
• cURL 或 wget

必备知识

• WordPress 架构和结构
• Web 应用测试基础
• HTTP 协议知识
• 常见 Web 漏洞（OWASP Top 10）

限制和局限

法律注意事项

• 测试前取得书面授权
• 遵守规定的范围
• 记录所有测试活动
• 遵循负责任的披露原则

技术限制

• WAF 可能会阻止扫描
• 速率限制可能会阻止暴力破解
• 某些插件可能产生假阴性
• XML-RPC 可能已禁用

评估流量控制

• 与所有者商定源 IP、请求速率、维护时段、停止条件以及是否使用代理。
• 限制请求速率：--throttle 1000 是一个示例，请根据已安装的 WPScan 帮助信息进行核实。
• 扫描受阻应视为一项发现或范围限制；不得轮换代理或切换身份验证渠道以规避已商定的控制措施。

适用场景

此技能适用于执行概述中所述的工作流或操作。