複数のWordPressサイトのリストを一度に自動スキャンし、スキャンサマリーをTelegramに送信する自動ツールです。wpscanログも含まれます。
必要なもの：wpscan、Telegram BOTトークン、WordPress脆弱性データベースAPIトークン
このツールは、WordPressで作成された複数のウェブサイトのリストを受け取り、定義された形式に従って整理し、wpscanを使用してスキャンを実行します。
特別なものではなく、単にwpscanを使った複数サイトのスキャナーです。コードに詳しい方であれば、より高度な自動化（例：Telegramボット、資産情報レポートAPIを介したデプロイ時の自動チェックなど）を実装できるでしょう。また、独自のDASTを考えている場合、初期開発設計の参考になるかもしれません。
さらに拡張したい場合は、管理用Web UIを作成し、Web UI上でセルフサービスのチェックを実装することで、オンデマンドでチェックを実行できるようになります。
ex) list.txt
https://wordpress_site.com,WordPress Site.com,12345678910
https://not_wordpress_site.com,Not Wordpress Site.com,0938342323
https://no_exist_domain.com,no_exist_domain,-34382473434
.d8b. db db d888888b .d88b. db d8b db d8888b. .d8888. .o88b. .d8b. d8b db
d8' `8b 88 88 `~~88~~' .8P Y8. 88 I8I 88 88 `8D 88' YP d8P Y8 d8' `8b 888o 88
88ooo88 88 88 88 88 88 88 I8I 88 88oodD' `8bo. 8P 88ooo88 88V8o 88
88~~~88 88 88 88 88 88 Y8 I8I 88 88~~~ `Y8b. 8b 88~~~88 88 V8o88
88 88 88b d88 88 `8b d8' `8b d8'8b d8' 88 db 8D Y8b d8 88 88 88 V888
YP YP ~Y8888P' YP `Y88P' `8b8' `8d8' 88 `8888Y' `Y88P' YP YP VP V8P
Autowpscan 1.0.0
- WordPress scanner that automatically scans a list of domains > analyze > send the results.
- Run time: 2023-04-14 15:46:47
- For questions contact github.com/password123456
------------------------------------->
- Scan List : /Users/data/code/autowpscan/list.txt
- Scan Count : 4
- O.K Here We go.!
[00:00:28.474618] (1 scanned) (vulnerabilities: 26) https://wordpress_site.com (wordpress: 5.8)
[00:00:32.803166] (2 scanned) (vulnerabilities: 0) https://not_wordpress_site.com (wordpress: scan_aborted. wrong url or something scan failed.)
[00:00:40.279409] (4 scanned) (vulnerabilities: 0) https://no_exist_domain.com (wordpress: scan_aborted. wrong url or something scan failed.)
Scan Completed.!
[RESULT]
1.(WordPress Site.com) https://wordpress_site.com
- /Users/data/code/autowpscan/20230414_394107f92ae4_wordpress_site.com_wpscan_result.json
"""
1) WordPress 5.4 to 5.8 - Data Exposure via REST API (fixed: 5.8.1)
2) WordPress 5.4 to 5.8 - Authenticated XSS in Block Editor (fixed: 5.8.1)
3) WordPress 5.4 to 5.8 - Lodash Library Update (fixed: 5.8.1)
4) WordPress < 5.8.2 - Expired DST Root CA X3 Certificate (fixed: 5.8.2)
5) WordPress < 5.8.3 - SQL Injection via WP_Query (fixed: 5.8.3)
6) WordPress < 5.8.3 - Author+ Stored XSS via Post Slugs (fixed: 5.8.3)
7) WordPress 4.1-5.8.2 - SQL Injection via WP_Meta_Query (fixed: 5.8.3)
"""
2.(Not Wordpress Site.com) https://not_wordpress_site.com
- /Users/data/code/autowpscan/20230414_d58bd67af8c4_not_wordpress_site.com_wpscan_result.json
3.(no_exist_domain) https://no_exist_domain.com
- /Users/data/code/autowpscan/20230414_fda2354453a6_no_exist_domain.com_wpscan_result.json
このツールは手動テストの代わりになるものではなく、Webアプリケーションに存在するすべての脆弱性を検出できるわけではないことに注意してください。このツールは手動テストの補完として使用し、結果は実際の対応前に人間のテスターが検証する必要があります。また、誤検知（false positive）や見逃し（false negative）が発生する可能性があるため、結果の解釈には注意が必要です。
全体として、このツールはWeb脆弱性テストのプロセスに価値ある追加要素となり、多数のWebアプリケーションにおける潜在的なセキュリティリスクの特定と緩和に役立ちます。