[Python] WordPress Auditor

[0pc0deFR]

Hello,

voici un petit script Python permettant d'auditer la code source de vos plugins WordPress à la recherche de vulnérabilités. Actuellement seul les injections SQL et les CSRF sont détectés. Du coté des SQLi, pas mal de faux positifs peuvent ressortir car je n'ai pas encore trouvé de solution pour mieux filtrer la détection sans avoir trop de faux négatifs. Pour les CSRF, je pense qu'il est opérationnel avec un rapport proche de zéro faux négatifs/faux positifs.

le github qui va bien: https://github.com/0pc0deFR/Bulk_Tools

Je réfléchis à comment intégrer la détection des XSS donc je suis ouvert à toutes suggestions.

Le fonctionnement est assez simple, je détecte les API de sécurisations mises à disposition dans le core WordPress 3.5.X. comme (pour la CSRF) wp_nonce_create(). De base si un développeur utilise ses propres API de sécurisations l'outil détectera un faux positif mais il suffit de compléter les tableaux avec ses propres API pour ne plus détecter de faux positifs.

[InstinctHack]

io,

je connais pas trop wp, mais pour detecter les xss, tu peux peut-être faire un truc du genre :

Code PHP :


<?php
function echo_($string){echo $string;}
function test($function)
{
ob_start();
call_user_func($function,'<script>alert("lame");</script>');
$data = ob_get_contents();
ob_end_clean();
$arf=array('<','>');
foreach($arf as $value)
{if(stripos($data,$value)!==false)
return true;}return false;
}
var_dump(test('echo_'));
var_dump(test('htmlentities'));
 

sortie :

Code :

bool(true)
bool(false)

[0pc0deFR]

Je vais voir ce que fait ton code et tester ça. Si vous avez d'autres remarques/suggestions, je suis preneur.

[0pc0deFR]

J'ai update en version 2.3 avec plusieurs petites nouveautés:
- Gestion des archives zip (les plugins wordpress sont à dispo au format zip)
- Gestion des fichiers uniques ou directory
- Réorganisation du code
- Meilleur détection des CSRF et SQLi

J'ai pas eu le temps de faire des tests pour l'XSS mais ça va venir car je commence à avoir quelques idées.

PS: Le code n'est pas commenté mais il est très simple de compréhension. Si certains veulent des commentaires, je peux en mettre sans problème.

En Espérant que ça serve à la communauté.

[0pc0deFR]

Pour la petite info, le projet fait son chemin et voici quelques petites nouveautés:
Version 2.4:
- Détection des XSS;
- Possibilité d'ignorer certaines extensions;
- Récupération de l'URI du développeur.

La version 2.5 est en préparation:
- Grosse amélioration de la détection XSS;
- Mise en place des logs;
- Quelques corrections de bugs.

[CyberSee]

Tu devrais aller faire un tour dans le code source de WPScan... Il y a peut-être des idées ou des méthodes qui pourraient t'être utiles. http://wpscan.org/ Il a été écrit en ruby.

[0pc0deFR]

Hello,

la nouvelle version, 2.8, intègre la détection des Files Inclusions avec une petite optimisation de la fonction log et de la fonction de détection XSS.

[0pc0deFR]

Hello,

voici une version en ligne basée sur Wordpress Auditor: http://0pc0defr.fr/wp-check/