关于

Plown 是一款针对 Plone CMS 的安全扫描器。尽管 Plone 在所有主流 CMS 中拥有最佳的安全记录，且被认为高度安全，但错误配置和弱密码仍可能导致系统入侵。Plown 旨在简化用户名和密码的发现过程，并作为系统管理员的助手，帮助加强其 Plone 网站的安全性。

安装

Plown 使用 Python 编写，无需安装。只需克隆 GitHub 仓库并运行即可。

user@user:/Desktop$ git clone https://github.com/unweb/plown user@user:/Desktop$ cd plown user@user:~/Desktop/plown$ ./plown.py

Plown 能做什么

Plown 有两种模式：枚举模式和暴力破解模式。在枚举模式下，它尝试查找用户名并检查是否存在多个已知漏洞。
在暴力破解模式下，Plown 将使用指定的用户名和密码列表，通过多线程连接尝试登录 Plone 站点。默认启动 16 个线程，该数量可配置。
Plone 版本枚举计划在 Plown 的下一个版本中发布。

帮助

只需不带任何参数运行程序即可获取帮助： user@user:~/Desktop/plown$ ./plown.py

更多

了解 Plone 安全以及 Plone 如何解决常见安全问题：http://plone.org/products/plone/security/overview

待办事项

• 基于静态资源（js、css）的 md5 哈希值进行 Plone 版本枚举。
• 更好的用户名枚举（爬取站点并查看每个页面的创建者）。
• 将添加更多漏洞。

作者

Plown 由 unweb.me 的 provetza 创建。联系：provetza at unweb dot me

测试环境

Python2.4、2.6、2.7

致谢

所有荣誉归功于 Plone 的创建者，感谢这个出色的 CMS。