WordPress - 自定义插件的安全测试

Question

我正在为我的客户构建一个自定义插件，它部分基于woocommerce，它将使用少量功能或来自woocommerce的钩子。最后我想测试一下插件的安全性。任何人都可以建议我，如果有任何方法在自定义插件上运行安全测试？ 提前谢谢。

Answer 1

您可能会发现有用的漏洞测试工具，例如Vega。 OWASP制作ZAP，我非常喜欢。其他人提到Arachni。无论哪种方式，漏洞测试都无法找到所有内容，因此您应该了解开发过程中的安全措施。

您真的应该熟悉常见的漏洞（SQL注入，XSS，CSRF），包括开发前OWASP Top 10 Vulnerabilities中的漏洞。

另外需要注意的是，WP Scan是WordPress的渗透测试工具，但它更侧重于配置漏洞，因此无法帮助您。 WPScan还运行WPVulnDB，其中列出了WordPress核心文件，主题和插件中的已知漏洞。