WPHunter：WordPress漏洞扫描工具使用指南

一、工具概述

WPHunter是一款专为WordPress设计的漏洞扫描工具，能够帮助研究人员和安全专家检测WordPress网站中的潜在安全漏洞。该工具主要功能包括：

1. 检测目标WordPress版本及其已知漏洞
2. 扫描已安装插件和主题的安全漏洞
3. 查找可能存在的备份文件
4. 检测开放路径问题
5. 检查安全Header配置

二、背景与重要性

• WordPress是全球使用最广泛的CMS系统，运行着超过7500万个网站
• 约30%的网站使用WordPress构建
• 每天有大量WordPress网站遭受攻击，可能导致：
  • 数据丢失
  • 网站被用于攻击访问者
  • 其他安全问题

三、安装指南

Linux系统安装

1. 克隆项目仓库：

   git clone https://github.com/Jamalc0m/wphunter.git
   

2. 进入项目目录：

   cd WPHunter
   

3. 运行工具：

   php wphunter.php
   

Windows系统安装

1. 确保已安装并配置PHP环境

2. 克隆或下载项目：

   git clone https://github.com/Jamalc0m/wphunter.git
   

3. 解压到桌面（可选）

4. 打开命令行，进入项目目录：

   cd Desktop/wphunter-master/
   

5. 运行工具：

   php wphunter.php
   

四、使用说明

基本命令

查看帮助信息：

php wphunter.php -h
或
php wphunter.php --help

扫描目标网站

基本扫描命令：

php wphunter.php https://www.example.com

五、功能详解

1. WordPress版本检测：

   • 识别目标站点使用的WordPress版本
   • 比对已知漏洞数据库

2. 插件/主题漏洞扫描：

   • 枚举已安装插件和主题
   • 检查是否有已知漏洞

3. 备份文件检测：

   • 查找常见的备份文件（如.bak, .zip等）
   • 防止敏感信息泄露

4. 开放路径检查：

   • 检测不安全的目录权限设置
   • 识别可能被利用的目录遍历漏洞

5. 安全Header分析：

   • 检查HTTP安全头配置
   • 如CSP、XSS保护、HSTS等

六、项目地址

GitHub仓库：https://github.com/Jamalc0m/wphunter

七、注意事项

1. 使用前确保已获得目标网站的扫描授权
2. 扫描可能触发目标网站的安全防护机制
3. 建议在测试环境中先熟悉工具使用
4. 工具结果仅供参考，需人工验证关键漏洞

八、进阶使用建议

1. 结合其他WordPress安全工具使用（如WPScan）
2. 定期更新工具以获取最新漏洞数据库
3. 对扫描结果进行人工审核和验证
4. 将扫描结果整理为报告，便于修复

九、常见问题

1. PHP环境问题：

   • 确保PHP已正确安装并加入系统PATH
   • 检查PHP版本兼容性

2. 网络连接问题：

   • 确保能访问目标网站
   • 检查防火墙设置

3. 权限问题：

   • Linux下可能需要sudo权限
   • Windows下以管理员身份运行CMD

4. 工具更新：

   • 定期使用git pull获取最新版本
   • 关注GitHub上的更新日志