WordPress sitenize saldırganın gözüyle bakın

Neye bakıyoruz

Standart tarama herkese açıktır. Derin tarama hassas dosya yollarını da yokladığı için yalnızca hesabınızda sahipliğini doğruladığınız alan adında çalışır.

Standart tarama en çok 10, derin tarama en çok 48 adrese istek gönderir. Hepsi salt-okunur (GET) isteklerdir; hassas dosyanın içeriği saklanmaz, rapora yalnızca yolu yazılır.

• Çekirdek sürümü

  Sürüm, WordPress çekirdeğinin kendi açıklarıyla dal bazında eşlenir.

  Standart

• Eklentiler ve sürümleri

  Her eklenti kendi açıklarıyla gelir; sürüm okunursa kayıtlar kesin eşlenir.

  Standart

• Temalar

  Etkin tema ve alt tema aynı dizinden eşlenir.

  Standart

• wordpress.org durumu

  Eklenti dizinden kaldırılmış mı, sitedeki sürüm son sürümden eski mi, çekirdek sürümünü WordPress.org güvensiz sayıyor mu?

  Standart

• HTTPS yönlendirmesi

  HTTP'de kalan site oturum çerezini ve parolayı açık taşır.

  Standart

• Kullanıcı adı ifşası (REST API ve yazar arşivi)

  Öğrenilen kullanıcı adları parola deneme saldırısını kolaylaştırır.

  Standart

• Üyelik kaydı

  Kayıt açıksa “abone” yetkisi gerektiren eklenti açıkları dışarıdan sömürülebilir.

  Standart

• XML-RPC

  Tek istekte çok sayıda parola denemesine ve pingback suistimaline açıktır.

  Standart

• readme.html

  Kurulumdan kalan dosya sitenin ne çalıştırdığını söyler.

  Standart

• Dizin listeleme (uploads)

  Yüklenen her dosya adres tahmin etmeden gezilebilir.

  Standart

• Eklenti ve tema sürümünü kesinleştirme

  readme.txt ve style.css okunur; “olası” kayıtlar “doğrulanmış”a ya da “temiz”e döner.

  Derin

• wp-config yedekleri

  Veritabanı parolası ve gizli anahtarlar indirilebilir durumda mı?

  Derin

• debug.log

  Dosya yolları, sorgular ve bazen kişisel veri içerir.

  Derin

• Veritabanı yedeği ve yedek klasörleri

  Tüm içerik ve kullanıcı parola özetleri; yedek eklentisi klasörleri listeleniyor mu?

  Derin

• .env ve .git

  Parolalar, API anahtarları ve kaynak kod indirilebilir durumda mı?

  Derin

Açık veri ve akışlar

WordPress zafiyet verimizi kendi aracınızda kullanın. Noroxi'nin türettiği alanlar (bileşen eşlemesi, yetki düzeyi, yama durumu) CC BY 4.0'dır: kaynak göstererek ticari işte de kullanabilirsiniz. İstismar kodu ya da bağlantısı hiçbir çıktıda yoktur.

Ücretsiz ne var, ücretli ne ekler

Tarama, rapor ve dizin ücretsizdir. Ücretli planlar daha sık yeniden tarama ve daha çok site ekler.

Hesap açmadan da günde 3 pasif tarama yapabilirsiniz.

Planları gör

Sınırlar ve yapmadıklarımız

• Pasif tarama yalnızca sitenin dışarıya gösterdiği bileşenleri görür; ön yüzde iz bırakmayan eklentiler listede olmaz.
• Sürümü okunamayan bileşenin kayıtları “olası” kalır ve puana girmez; sürüm tahmin etmeyiz.
• Parola denemesi, form gönderimi, istismar denemesi yok. Açığın varlığını sürümden çıkarırız, sömürerek değil.
• Güvenlik duvarı doğrulama sayfası dönerse bunu raporda söyleriz; tarayıcı kimliği taklit etmeyiz.
• Resmî kurum alan adları hiçbir modda taranmaz.
• Yetki düzeyi kaydın metninden, yoksa CVSS'ten okunur; ikisi de söylemiyorsa “bilinmiyor” kalır ve indirim uygulanmaz.
• “Yama görünmüyor” yalnızca kayıt wordpress.org'daki son sürümü açıkça etkilenen aralıkta gösteriyorsa yazılır. wordpress.org'da olmayan (ücretli) bileşenlerde bu iddia yapılmaz; durum bilgisi düzenli yenilenir ve kontrol tarihi bileşen sayfasında yazar.
• Bu bir sızma testi değildir: iş mantığı, yetkilendirme ve özel kod hataları kapsam dışıdır.

Sık sorulanlar

Tarama siteme zarar verir ya da yavaşlatır mı?

Hayır. Standart tarama en çok 10 adrese birer salt-okunur istek gönderir; bir ziyaretçinin birkaç sayfa açmasından farkı yoktur. Hiçbir şey yazmaz, giriş denemez.

Başkasının sitesini tarayabilir miyim?

Standart tarama yalnızca herkesin tarayıcıyla görebildiği adresleri ister; bu yüzden sahiplik gerektirmez. Hassas dosya yollarını yoklayan derin tarama yalnızca sahipliğini doğruladığınız alan adında çalışır.

“Doğrulanmış” ile “olası” arasındaki fark ne?

Doğrulanmış: bileşenin sürümünü okuduk ve bu sürüm kayıttaki etkilenen aralığa giriyor. Olası: bileşen sitede var ama sürümünü okuyamadık; açık sizde olmayabilir. Olası kayıtlar puanı düşürmez.

Sürüm numaralarını gizliyorum. Ne görürsünüz?

Daha azını. Bileşeni görüp sürümünü okuyamazsak kayıtları “olası” gösteririz. Alan adınızı doğrularsanız derin tarama sürümü eklentinin kendi readme.txt dosyasından okur.

Sonuçlar saklanıyor mu, kim görebilir?

Her tarama kaydedilir ve tahmin edilemeyen bir bağlantı alır. Raporu yalnızca bağlantıyı bilen açabilir; rapor sayfaları arama motorlarına kapalıdır.

Yeni bir açık çıktığında nasıl haberim olur?

Siteyi izlemeye alın. Ücretsiz hesapta haftada bir, Pro ve Team'de her gün yeniden tararız; doğrulanmış açık sayısı artarsa hesabınıza bildirim düşer, günlük e-posta özetiniz açıksa orada da yer alır.

Sitemin taranmasını istemiyorum.

İstekler NoroxiWP kullanıcı aracısıyla gelir; sunucunuzda ya da güvenlik duvarınızda bu adı engelleyebilirsiniz. Engellenen sitede tarama sonuç vermez.

“Kimlik doğrulamasız”, “abone+” etiketleri nereden geliyor?

Kaydın kendi metninden. WordPress zafiyet kayıtları gereken rolü çoğunlukla açıkça yazar (ör. “abone düzeyi ve üstü”). Metin rol söylemiyorsa CVSS'teki “gereken yetki” alanına bakarız ve yalnızca “giriş gerekir” ya da “yüksek yetki” deriz; rol adı uydurmayız. Üyelik kaydınız açıksa “abone+” açıkları herkesin deneyebileceği açıklar olarak öne alınır.

Raporda “wordpress.org'da kapatıldı” yazıyor. Ne yapmalıyım?

Eklenti resmî dizinden kaldırılmış demektir (raporda tarihi ve nedeni yazar); artık güncelleme almaz. Sitenizde çalışmaya devam eder ama açıkları kapanmaz. Kaldırın ya da bakımı süren bir alternatife geçin.

API, akış ya da MCP aracı var mı?

Var. Anahtarsız RSS ve JSON akışı en yeni kayıtları verir. API anahtarıyla /api/v1/wordpress?host= taramayı, /api/v1/wordpress/component eklenti ve sürüm sorgusunu döner; MCP sunucusunda wordpress_scan ve wordpress_component araçları aynı işi yapar. Tüm dizin açık veri dökümündedir.