WPSCAN’ın kurucusu Ryan Dewhurst ile röportaj
Ryan Dewhurst, WordPress topluluğundaki insanlara web sitesi güvenlik duruşlarını geliştirmelerine ve onları kötü saldırganlardan korumalarına yardımcı olmak için yıllardır olan etik bir hacker ve penetrasyon denetçisidir. Ryan, güvenlik uzmanları ve blog yöneticileri için sitelerinin güvenliğini test etmek için yazılmış ücretsiz WordPress Black Box güvenlik tarayıcısı olan WPSCAN’ın kurucusudur. WPSCAN CLI aracı şu anda 21.875 WordPress güvenlik açığı veritabanı kullanıyor. 1. Sizi tanımayanlar için bize ne yaptığınızı ve geçmişiniz ve kimlik bilgileriniz hakkında biraz bilgi verin.
Hatırladığım sürece bilgisayarlarla ve internetle ilgileniyorum. Bir komşunun evine, o sırada bilgisayarı olan, Windows 95 makinesinde Solitaire oynamak için tanıdığım tek kişi giderdim. İnternete erişimi bile yok, ama sadece bir bilgisayarla etkileşime girmeyi seviyorum. Sonra, gençlik yıllarımda, annemi bana kendi bilgisayarım ve bu sefer internet erişimi ile satın almaya ikna ettim! Dünyanın her yerinden insanlarla etkileşim kurma yeteneği beni şaşırttı. Yahoo o zamanlar büyüktü ve Yahoo! Sohbet ve bu hizmette “Hacker’s Lounge” adlı bir sohbet odası var. Her gece herkesin neden bahsettiğini öğrenmeye çalışan sohbet odasında geçirdim, Truva, Rat, DoS, halka açık programlama vb.
Sonra hayatımda yerel üniversitelerin bilgisayar güvenliği için etik hackleme lisans derecesi öğretmeye başlayacağını görüyorum. Çalışmaya başlamak için 15 yaşındayken okuldan ayrıldım, bu yüzden niteliklerim yoktu. Kurs için gereksinimler, matematik ve İngilizce seviye GCSE dahil olmak üzere en az üç niteliktir. Bu yüzden hemen düşük maaş işimden ayrıldım ve kendimi hızlı bir Lane College kursundan geçirdim, bu ücretsiz çünkü çok para kazanmıyorum, gerekli nitelikleri elde etmek için. Niteliklerle bile, başlangıçta kursu almayı reddettim, ancak öğretmenin e -posta adresini bulmayı ve hayatta yapmak istediğim tek şey bu dersin nasıl olduğunu hissettiğim hakkında uzun bir hikaye yazmayı başardım. Ve son olarak, kursta kabul edildim! Dört yıl sonra kursu birinci sınıf ödülü ile bitirdim.
Bundan sonra, bir Penetrasyon Test Şirketi’nde Web Uygulaması Güvenlik Mühendisi olarak bir iş buldum, burada en iyi İngiltere işletmelerini güvenlik sorunları için test etmek için çalışıyorum. Bu işi kendi penetrasyon test şirketimi ve nihayet şimdi olduğum WPSCAN’ı başlatmak için terk ettim. 2. Yıllardır web uygulaması güvenlik sektöründe aktifsiniz. Sizi özellikle WordPress ile ilgilendiren nedir? Deneyimlerim ve güvenlik hakkında öğrendiğim şeyler hakkında blog yazmaya başladım ve WordPress’i bir blog platformu olarak kullanarak tesadüfen kullandım. Bir gün WordPress’i etkileyen başkaları tarafından gönderilen bir güvenlik açığı buldum. Güvenlik alanında çalıştığımda ve kendi WordPress’imi kullandığımda, kendi web sitemde test edilecek güvenlik açığının sömürülmesini yazıyorum. Daha sonra WordPress’i etkileyen diğer güvenlik zayıflıklarına tavşan deliğine başladım ve nihayet tüm bu bilgiyi WPSCAN olarak adlandırdığım araçlara koydum.
3. Birçok web uygulaması güvenlik uzmanı WordPress’te düşük görünüyor. WordPress’i asla kullanmayacaklarını veya çalışma şeklinin kusurlu olduğunu söyleyen birçok insanla konuştum (örneğin, bir eklentinin tüm kancalara, vb. Tam erişimi var). Bunun hakkında ne düşünüyorsun? WordPress web’de çok yaygın olarak kullanıldığından, saldırganlar için çekici bir hedeftir. Bu, birçok güvenlik araştırmacının ve siyah şapkaların bilgisayar korsanlarının hala büyümedeyken WordPress’i aramasına neden olur. WordPress bugün olduğu gibi olgun olmadığından, birçok güvenlik sorunu bulunur. Ancak bugün, nispeten, WordPress’in çekirdeği çok güvenli bir içerik yönetim sistemidir (CMS). Sorun şu anda üçün eklentisinde. İlk etapta kullanıcıları çeken birçoğu var, ancak yüklediğiniz her eklenti de web siteniz için ekstra bir risk oluşturuyor. Ancak bu, bu sorunun üstesinden gelmek için, deneyimlerimden, benim deneyimimle oluşturulan yenilikçi şirketler ile daha iyi. Deneyim zamanı, WordPress eklentisinin daha güvenli hale geldiğini görüyoruz. Sadece şimdi bu alana adanmış araştırma seviyesi ve şirketler nedeniyle. 4. WPSCAN ile ilgili olarak, açık kaynak tarayıcılar, eklentiler, güvenlik açığı veritabanları vb. Vardır. Bu projelerin nasıl birbirine bağlı olduğunu, kullanıcılar tarafından nasıl kullanılması gerektiğini ve nedenini açıklayabilir misiniz?
WPSCAN WordPress Güvenlik Açığı Veritabanı, tüm hizmetlerimizi birleştiren veritabanıdır. Diğer tüm ürün ve hizmetlerimiz veritabanına bağlıdır, bunlar veri kullanan ve bunları kullanıcılarımız için yararlı bir şekilde sunan istemcilerdir.
5. WordPress eklentisi veritabanını, temaları ve temel güvenlik açığını korumak için neler gereklidir?Yeni sorunları, nasıl korunacağınızı nasıl anlarsınız?Çok iş gerektiriyor.Veritabanımıza girdiğimiz her güvenlik açığı, WordPress güvenlik mühendislerimizden biri tarafından gerçekleştirilir, böylece bunun gerçek bir güvenlik açığı olduğuna ve olumlu bir hata olmadığına dair yüksek bir güvene sahip olabilirsiniz.Çeşitli kaynaklardan güvenlik açığı bulduk.WordPress, eklentiler veya temalarda güvenlik açığı keşfeden ve bunları doğrudan bize gönderen bir grup bağımsız sert çekirdekli güvenlik araştırmacımız var.Ayrıca, bir kişinin WordPress’teki güvenlik açığı hakkında konuşması olabilecek belirli anahtar kelimeler için sosyal medya, forumlar, bloglar, web siteleri ve arama motorlarını izlemeye devam ediyoruz. Bazen bağımsız güvenlik araştırmalarının kendisi de yürütüyoruz. Örneğin, ekip üyelerimiz yakın zamanda, o zamandan beri yamalı olan çekirdek WordPress’teki sahalar arası talebi (CSRF) sahteciliğe yönelik güvenlik açığını keşfettiler. Ayrıca, web izleme saldırılarında 0 günlük güvenlik açığı bulmamıza neden olan bir dizi baltaşımız var. 6. Okuyucularımıza güvenlik açığının doğrulama sürecini yayınlamadan önce nasıl açıklayabilir misiniz? Yoksa bildirilen verilerin geçerli ve doğru olduğundan emin olmak için izlediğiniz bir süreç var mı? Çoğu zaman güvenlik açığı raporunun yanlış olup olmadığı açıktır. Uzman ekibimiz genellikle teknik olarak doğru olsun ya da olmasın, sadece tavsiyeyi okuyarak öğrenebilir. Diğer zamanlarda, bu kolay değildir ve savunmasız sürümleri kurarak ve onu kullanmaya çalışarak kendi güvenlik açığımızı manuel olarak doğrulamamız gerekir. Bizim için en çok zaman alıcı olan güvenlik açığı triyajıdır. Yalnızca saldırgana yardımcı olursa güvenlik açığı hakkında bilgi yayınlamak istemiyoruz. Eklenti satıcısının güvenlik açığını bilmesini ve veritabanımıza ayrıntılar eklemeden önce yamayı teşvik etmesini istiyoruz. Ancak, bu her zaman gerçekleşmez, çünkü bazı satıcılarla iletişime geçemez veya umursamamaktadır. Bu durumda, WordPress kullanıcılarını korumak için harekete geçebilmeleri için güvenlik açığından haberdar olmak için WordPress eklentisi ekibiyle birlikte çalışıyoruz. Bu sürecin şeffaf olmasını sağlamak için, aldığımız güvenlik açığı verilerini nasıl işlediğimizi açıklayan bir kamu açıklama politikamız da var.
7. WP güvenlik açığı veritabanında ve WPSCAN projesinde şimdiye kadar gördüklerinize dayanarak, WordPress güvenlik ve güvenli kodlamanın (eklentiler, temalarda) vb. Geleceği hakkında ne düşünüyorsunuz? Ben iyimserim ve her şeyin daha iyi olduğunu düşünüyorum. Bugün WordPress’in güvenliğine daha fazla odaklanıyor ve daha fazla çözüm mevcut. WordPress’in çekirdeğinin, tüm eklentilerin ve% 100 güvenli tüm temaların olduğu noktaya geleceğimizi sanmıyorum, ancak büyük kurulum tabanlarına sahip çoğu eklentinin oldukça güvenli olduğu noktaya gelebileceğimizi düşünüyorum. . Sadece kesmeye devam etmeliyiz. 8. Ayrıca bir geliştirme geçmişiniz var. WordPress eklentileri ve tema geliştiricileri için en iyi üç ipucu nedir? Kullanıcı girişini doğrulamak ve kullanıcı çıktısını kodlamak. Örneğin, ESC_HTML () WordPress, ESC_ATTR (), ESC_URL (), iyice ve doğru yerde çalışın.
SQL sorguları yaparken daima hazırlık işlevini () kullanın.
Tehlikeli işlevleri yerine getirmeden önce her zaman kullanıcının yeteneğini kontrol edin.
9. Sizce, siteyi güvence altına almak ve güvende tutmak için WordPress sitesi yöneticisi tarafından yapılması gereken en önemli üç şey veya en iyi güvenlik uygulaması nedir?
WordPress sürümünüzü, eklentinizi ve temanızı güncelleyin.
Güvenlik eklentilerini yükleyin. Orada çok iyi olanlar var, birini seçin ve kullanın.
Güvenli bir şifre kullanın. Şifrenizin benzersiz ve karmaşık olduğundan emin olun. Bu, örneğin şifre yöneticileri tarafından elde edilebilir.
10. Web uygulaması güvenlik endüstrisinde uzun bir geçmişiniz var. Seni birkaç yıl önce DVWA aracılığıyla tanımalıydım. Okuyucularımıza DVWA’nın ne olduğunu açıklayabilir misiniz ve neden geliştirdiniz? Lanet Savunmasız Web Uygulaması (DVWA), kendime web uygulamalarının güvenliği hakkında bilgi vermek için üniversitedeyken yaptığım açık kaynaklı bir projedir. Bence öğrenmenin en iyi yolu, kullanmak için sömürülebilecek somut bir örneğe sahip olmaktır. Daha sonra diğerlerinden çok yardımdan sonra çevrimiçi olarak yayınladım ve çok popüler oldum. Bugün eski arkadaşım Robin Wood (@digininja) tarafından yönetiliyor. Eğer yüklerken sorunlarınız varsa, eminim yardım etmekten mutluluk duyacaktır. 11. Sizden hoşlananlarla paylaşabileceğiniz, WordPress ve uygulama güvenliği hakkında daha fazla bilgi edinmek isteyebileceğiniz ipuçları ve/veya kaynaklar var mı? Twitter bence en iyi kaynaklardan biri. Konuları yaşayan ve teneffüs eden bazı insanları takip edin ve ondan öğrenin. Takip etmeyi önerdiğim bazı insanlar @tnash, @Random_robbie, @viss ve diğerleri. Çok aktif bir Facebook WordPress güvenlik grubu da var. Web uygulamasının güvenliğine gitmek istiyorsanız, bir Web Uygulaması Hacker El Kitabı önereceğim. 12. WPSCAN projesinin geleceği nedir? Plan nedir?
Son zamanlarda tüm güvenlik açığı veritabanı web sitelerini yeniden tasarladık ve güvenlik açığını yönetmek için arkada birçok çaba sarf ettik.WPSCAN CLI aracımız çok kararlı, 2011’den beri var, bu yüzden şu anda biraz iyileştirmeye ihtiyacı var.Plan, güvenlik açığı veritabanlarımızın her zaman güncellenmesini ve doğru olmasını sağlamak için WordPress, eklentiler ve temalardaki güvenlik sorunlarını incelemeye zaman ayırmaya devam etmektir.Ayrıca, WordPress güvenlik eklentimiz için birçok çaba sarf etmek istiyoruz, bunun WordPress ekosisteminde daha iyi bilinmemize yardımcı olacağına inanıyoruz.13. Başkalarına ilham vermeye yardımcı olmak için bize seyahatiniz hakkında biraz daha fazla ve kariyeriniz sırasında karşılaştığınız tuzaklar hakkında biraz daha fazla bilgi verebilir misiniz ve bugün başarıya ulaşmanıza ve başarmanıza yardımcı olan şey nedir?
