WPScan¶

wpscan でスキャンした結果をRISKEN上へ取り込むことが可能です

wpscanとは？

wpscan を使うとWordPressで構築されたWEBサイトに対して、以下のような問題がないかを確認することができます

また、 wpscan による確認以外にログインページ等の管理者向けのページが外部に公開されていないかを確認します

フォーマット¶

RISKENへデータを取り込む際に、以下のメタデータを付加します

項目	説明
`DataSource`	diagnosis:wpscan (固定)
`ResourceName`	スキャン対象のURL
`Description`	説明
`Score`	スコアリング参照
`Tag`	`diagnosis` `wordpress` `vulnerability` `{スキャン対象}`

WPScanで解析された結果データにはスコアに相当するデータを持っていません

なので、RISKENでは収集した内容に応じて以下の通りにスコアリングを行います

脆弱性の存在するバージョンかそうでないかでスコアを決定します

スキャンの結果バージョン情報を取得できなかった場合にはFindingは登録されません

ログインページがパブリックに公開されているかどうかでスコアを判別しています

また、ログインページが公開かつログインユーザーを特定できる場合にはさらにスコアが高くなります

WPScanを実行した結果、上記以外の結果の中で危険度が高いと判断されたものは以下の通りのスコアとなります。

上記以外の情報は 0.1,0.3 のスコアで登録されます

下記に該当するような内容が登録されます