สัมภาษณ์กับ Ryan Dewhurst ผู้ก่อตั้ง WPScan

Ryan Dewhurst เป็นแฮ็กเกอร์ที่มีจริยธรรมและผู้ทดสอบการเจาะระบบที่อุทิศเวลาหลายปีในการช่วยเหลือผู้คนในชุมชน WordPress ปรับปรุงความปลอดภัยเว็บไซต์และปกป้องพวกเขาจากผู้โจมตีที่ประสงค์ร้าย

Ryan เป็นผู้ก่อตั้ง WPScan ซึ่งเป็นเครื่องสแกนความปลอดภัย WordPress กล่องดำฟรีที่เขียนขึ้นสำหรับผู้เชี่ยวชาญด้านความปลอดภัยและผู้ดูแลบล็อกเพื่อทดสอบความปลอดภัยของเว็บไซต์ของตน ปัจจุบันเครื่องมือ WPScan CLI ใช้ฐานข้อมูลช่องโหว่ของ WordPress จำนวน 21,875 รายการ

1. สำหรับผู้ที่ไม่รู้จักคุณ บอกเราหน่อยว่าคุณทำอะไร และข้อมูลเล็กน้อยเกี่ยวกับอดีตและข้อมูลประจำตัวของคุณ

ฉันสนใจคอมพิวเตอร์และอินเทอร์เน็ตมานานเท่าที่ฉันจำได้ ฉันเคยไปบ้านเพื่อนบ้าน ซึ่งเป็นคนเดียวที่ฉันรู้ว่ามีคอมพิวเตอร์ในขณะนั้น เพื่อเล่นไพ่คนเดียวบนเครื่อง Windows 95 ของเขา เขาไม่สามารถเข้าถึงอินเทอร์เน็ตได้ แต่ฉันมีความสุขที่ได้โต้ตอบกับคอมพิวเตอร์

ต่อมา ตอนเป็นวัยรุ่น ฉันเกลี้ยกล่อมแม่ให้ซื้อคอมพิวเตอร์ให้ฉันเอง และครั้งนี้ด้วยการเข้าถึงอินเทอร์เน็ต! ความสามารถในการโต้ตอบกับผู้คนจากทั่วโลกทำให้ฉันทึ่ง Yahoo นั้นยิ่งใหญ่ในตอนนั้น และพวกเขามีบริการที่เรียกว่า Yahoo! แชท และในบริการนั้น พวกเขามีห้องสนทนาที่เรียกว่า "Hacker's Lounge" ฉันใช้เวลาทั้งคืนในห้องสนทนานั้นพยายามที่จะเรียนรู้เกี่ยวกับสิ่งที่ทุกคนกำลังพูดถึง โทรจัน RATs DoS การเขียนโปรแกรมทั่วไป และอื่นๆ

ต่อมาในชีวิตฉันเห็นว่ามหาวิทยาลัยในท้องถิ่นกำลังจะเปิดสอนระดับปริญญาตรีด้าน Ethical Hacking for Computer Security ฉันออกจากโรงเรียนเมื่ออายุ 15 ปีเพื่อเริ่มทำงาน จึงไม่มีคุณสมบัติอะไรเลย ข้อกำหนดสำหรับหลักสูตรมีอย่างน้อยสามคุณสมบัติ รวมถึงระดับ GCSE คณิตศาสตร์และภาษาอังกฤษ ซึ่งฉันไม่มี ดังนั้นฉันจึงลาออกจากงานที่ได้รับค่าตอบแทนต่ำในทันที และตั้งใจเรียนในหลักสูตรวิทยาลัยแบบเร่งรัด ซึ่งไม่เสียค่าใช้จ่ายเพราะฉันไม่ได้รับเงินมาก เพื่อให้ได้คุณสมบัติตามที่กำหนด แม้จะมีคุณสมบัติครบถ้วน ตอนแรกฉันถูกปฏิเสธไม่ให้เข้าร่วมหลักสูตรนี้ แต่ฉันก็พยายามหาที่อยู่อีเมลของครูและเขียนเรื่องราวยาวๆ เกี่ยวกับความรู้สึกที่ฉันรู้สึกว่าหลักสูตรนี้เป็นสิ่งเดียวที่ฉันต้องการจะทำในชีวิต และในที่สุด ผมก็ถูกตอบรับเข้าคอร์ส! หลังจากสี่ปีฉันก็จบหลักสูตรด้วยเกียรตินิยมอันดับหนึ่ง

หลังจากนั้น ฉันได้งานทำงานในบริษัททดสอบที่เจาะลึกในฐานะวิศวกรความปลอดภัยเว็บแอปพลิเคชัน ซึ่งฉันได้ทำงานทดสอบธุรกิจชั้นนำในสหราชอาณาจักรหลายแห่งเพื่อหาปัญหาด้านความปลอดภัย ฉันออกจากงานนี้เพื่อเริ่มต้นบริษัททดสอบการเจาะของตัวเอง และในที่สุด WPScan ที่ฉันอยู่ตอนนี้

2. คุณได้มีส่วนร่วมในอุตสาหกรรมความปลอดภัยของเว็บแอปพลิเคชันมาหลายปีแล้ว อะไรทำให้คุณสนใจเฉพาะใน WordPress?

ฉันเริ่มเขียนบล็อกเกี่ยวกับประสบการณ์และสิ่งที่ฉันได้เรียนรู้เกี่ยวกับความปลอดภัย และใช้ WordPress เป็นแพลตฟอร์มบล็อกทางเลือกของฉัน อยู่มาวันหนึ่งฉันพบช่องโหว่ด้านความปลอดภัยที่คนอื่นโพสต์ซึ่งส่งผลต่อ WordPress ขณะที่ฉันทำงานด้านความปลอดภัยและใช้งาน WordPress ด้วยตัวเอง ฉันเขียนช่องโหว่สำหรับการทดสอบบนเว็บไซต์ของฉันเอง จากนั้นฉันก็เริ่มจุดอ่อนด้านความปลอดภัยอื่นๆ ที่ส่งผลต่อ WordPress และนำความรู้ทั้งหมดนี้ไปไว้ในเครื่องมือที่ฉันเรียกว่า WPScan

3. ผู้เชี่ยวชาญด้านความปลอดภัยของเว็บแอปพลิเคชั่นหลายคนดูถูก WordPress ฉันได้พูดคุยกับหลายคนที่บอกว่าพวกเขาไม่เคยใช้ WordPress หรือวิธีการทำงานมีข้อบกพร่อง (เช่น ปลั๊กอินมีสิทธิ์เข้าถึงเบ็ดทั้งหมด ฯลฯ) คุณคิดอย่างไรกับเรื่องนี้?

เนื่องจาก WordPress ถูกใช้อย่างแพร่หลายบนเว็บ จึงเป็นเป้าหมายที่น่าสนใจสำหรับผู้โจมตี สิ่งนี้นำไปสู่นักวิจัยด้านความปลอดภัยและแฮกเกอร์หมวกดำจำนวนมากที่กำลังมองหา WordPress เมื่อยังอยู่ในช่วงเริ่มต้น เนื่องจาก WordPress ยังไม่เติบโตเท่าที่เป็นอยู่ในปัจจุบัน จึงพบปัญหาด้านความปลอดภัยมากมาย แต่ในปัจจุบันนี้ ค่อนข้างพูด WordPress core เป็นระบบจัดการเนื้อหา (CMS) ที่ปลอดภัยมาก ปัญหาในปัจจุบันอยู่ในปลั๊กอินของบุคคลที่สาม มีจำนวนมากซึ่งเป็นสิ่งที่ดึงดูดผู้ใช้ตั้งแต่แรก แต่ปลั๊กอินทุกตัวที่คุณติดตั้งยังเพิ่มความเสี่ยงให้กับเว็บไซต์ของคุณอีกด้วย

แต่สิ่งนี้ก็กำลังดีขึ้นด้วย บริษัทนวัตกรรมถูกสร้างขึ้นเพื่อจัดการกับปัญหานี้ จากประสบการณ์ของฉัน เราเห็นปลั๊กอิน WordPress มีความปลอดภัยมากขึ้นเมื่อเวลาผ่านไป เนื่องจากระดับของการวิจัยและบริษัทที่ทุ่มเทให้กับพื้นที่นี้ในขณะนี้

4. ในส่วนที่เกี่ยวกับ WPScan มีสแกนเนอร์โอเพ่นซอร์ส ปลั๊กอิน ฐานข้อมูลช่องโหว่ ฯลฯ คุณช่วยอธิบายได้ไหมว่าโครงการเหล่านี้เชื่อมต่อกันอย่างไร ผู้ใช้ควรใช้ตัวใดและเพราะเหตุใด

ฐานข้อมูลช่องโหว่ของ WPScan WordPress คือสิ่งที่เชื่อมบริการทั้งหมดของเราเข้าด้วยกัน ผลิตภัณฑ์และบริการอื่นๆ ทั้งหมดของเราอาศัยฐานข้อมูล พวกเขาเป็นลูกค้าที่ใช้ข้อมูลและนำเสนอในลักษณะที่เป็นประโยชน์ต่อผู้ใช้ของเรา

เครื่องมือ WPScan CLI เป็นผลิตภัณฑ์แรกของเรา ใช้งานฟรีสำหรับผู้ใช้ที่ไม่ใช่เชิงพาณิชย์ โดยจะสแกนเว็บไซต์ WordPress จากมุมมองภายนอกเพื่อให้แฮ็กเกอร์มองเห็นเว็บไซต์ WordPress ของคุณ แต่เครื่องมือนี้ต้องการให้ผู้ใช้คุ้นเคยกับการใช้บรรทัดคำสั่ง และบางครั้งอาจติดตั้งไม่ได้อย่างตรงไปตรงมา ทั้งนี้ขึ้นอยู่กับระดับทางเทคนิคของผู้ใช้ เครื่องมือนี้ออกแบบมาสำหรับผู้ทดสอบการเจาะและนักพัฒนาจริงๆ

ผลิตภัณฑ์ใหม่ล่าสุดในกลุ่มผลิตภัณฑ์ของเราคือปลั๊กอินความปลอดภัย WPScan WordPress ซึ่งได้รับการออกแบบมาสำหรับผู้ใช้ WordPress ทุกวัน คุณเพียงแค่ติดตั้งปลั๊กอินจากที่เก็บอย่างเป็นทางการของ WordPress กำหนดค่าโทเค็น API ของคุณ เริ่มสแกนและเริ่มรับการแจ้งเตือนด้านความปลอดภัย แนวคิดของปลั๊กอินนี้คือทำให้คุณตระหนักถึงปัญหาด้านความปลอดภัยก่อนที่แฮ็กเกอร์จะมีโอกาสใช้ประโยชน์จากมัน

5. การรักษาฐานข้อมูลของปลั๊กอิน WordPress ธีมและช่องโหว่หลัก ๆ ต้องใช้อะไรบ้าง? คุณจะทราบเกี่ยวกับปัญหาใหม่ได้อย่างไร มีการดูแลอย่างไร?

มันต้องใช้เวลาทำงานมาก ทุกช่องโหว่ที่เราเข้าสู่ฐานข้อมูลนั้นดำเนินการโดยหนึ่งในวิศวกรความปลอดภัย WordPress ผู้เชี่ยวชาญของเรา ดังนั้นคุณจึงมั่นใจได้ในระดับสูงว่าแท้จริงแล้วเป็นช่องโหว่ที่แท้จริง และไม่ใช่ผลบวกที่ผิดพลาด

เราพบช่องโหว่จากแหล่งต่างๆ เรามีกลุ่มนักวิจัยด้านความปลอดภัยฮาร์ดคอร์อิสระซึ่งพบช่องโหว่ใน WordPress, ปลั๊กอิน หรือธีม แล้วส่งมาให้เราโดยตรง เรายังคอยตรวจสอบโซเชียลมีเดีย ฟอรัม บล็อก เว็บไซต์ และเครื่องมือค้นหาอย่างต่อเนื่องสำหรับคำหลักบางคำที่อาจเป็นคนที่พูดถึงช่องโหว่ด้านความปลอดภัยใน WordPress

เรายังดำเนินการวิจัยด้านความปลอดภัยโดยอิสระในบางครั้งด้วย ตัวอย่างเช่น สมาชิกในทีมของเราเพิ่งค้นพบช่องโหว่ Cross-Site Request forgery (CSRF) ในแกนหลักของ WordPress ซึ่งได้รับการแก้ไขแล้ว นอกจากนี้เรายังมี honeypots จำนวนมากในการติดตามการโจมตีทางเว็บ ซึ่งทำให้เราค้นพบช่องโหว่ 0 วัน

6. คุณช่วยอธิบายให้ผู้อ่านฟังหน่อยได้ไหมว่ากระบวนการตรวจสอบจุดอ่อนก่อนเผยแพร่มีขั้นตอนอย่างไร หรือมีกระบวนการใดที่คุณปฏิบัติตามเพื่อให้แน่ใจว่าข้อมูลที่รายงานนั้นถูกต้องและถูกต้อง?

โดยส่วนใหญ่จะเป็นที่ชัดเจนว่ารายงานช่องโหว่นั้นเป็นเท็จหรือไม่ ทีมผู้เชี่ยวชาญของเราสามารถบอกได้โดยการอ่านคำแนะนำ ไม่ว่าจะถูกต้องในทางเทคนิคหรือไม่ ในบางครั้ง มันไม่ง่ายนัก และเราต้องตรวจสอบช่องโหว่ด้วยตนเองโดยติดตั้งเวอร์ชันที่มีช่องโหว่และพยายามใช้ประโยชน์จากช่องโหว่นั้น

สิ่งที่ต้องใช้เวลามากที่สุดสำหรับเราคือการคัดแยกช่องโหว่ เราไม่ต้องการเปิดเผยข้อมูลเกี่ยวกับช่องโหว่ หากเป็นเพียงการช่วยเหลือผู้โจมตี เราต้องการให้แน่ใจว่าผู้จำหน่ายปลั๊กอินทราบถึงช่องโหว่และผลักดันแพตช์ก่อนที่เราจะเพิ่มรายละเอียดลงในฐานข้อมูลของเรา แต่สิ่งนี้ไม่เป็นเช่นนั้นเสมอไป เนื่องจากผู้ขายบางรายไม่สามารถติดต่อได้หรือไม่สนใจ ในกรณีนั้น เราทำงานอย่างใกล้ชิดกับทีมของปลั๊กอิน WordPress เพื่อให้พวกเขาทราบถึงช่องโหว่ เพื่อให้พวกเขาสามารถดำเนินการเพื่อปกป้องผู้ใช้ WordPress

เพื่อให้แน่ใจว่ากระบวนการนี้โปร่งใส เรายังมีนโยบายการเปิดเผยข้อมูลต่อสาธารณะที่สรุปวิธีที่เราประมวลผลข้อมูลช่องโหว่ที่เราได้รับ

7. จากสิ่งที่คุณเคยเห็นในฐานข้อมูลช่องโหว่ WP และโครงการ WPScan คุณคิดอย่างไรกับอนาคตของการรักษาความปลอดภัย WordPress และการเข้ารหัสที่ปลอดภัย (ในปลั๊กอิน ธีม) ฯลฯ

ฉันเป็นคนมองโลกในแง่ดีและฉันคิดว่าสิ่งต่างๆ เริ่มดีขึ้น ในปัจจุบันมีการให้ความสำคัญกับความปลอดภัยของ WordPress มากขึ้น และมีโซลูชันอีกมากมายที่พร้อมใช้งาน ฉันไม่คิดว่าเราจะถึงจุดที่แกนหลักของ WordPress ปลั๊กอินทั้งหมดและธีมทั้งหมดปลอดภัย 100% แต่ฉันคิดว่าเราสามารถไปถึงจุดที่ปลั๊กอินส่วนใหญ่ที่มีฐานการติดตั้งขนาดใหญ่มีความปลอดภัยเพียงพอ . เราแค่ต้องบิ่นไปเรื่อย

8. คุณยังมีพื้นฐานในการพัฒนา เคล็ดลับสามอันดับแรกของคุณสำหรับปลั๊กอิน WordPress และนักพัฒนาธีมคืออะไร?

1. ตรวจสอบอินพุตของผู้ใช้และเข้ารหัสเอาต์พุตของผู้ใช้ ตัวอย่างเช่น ใช้ฟังก์ชัน esc_html(), esc_attr(), esc_url() ของ WordPress อย่างทั่วถึงและอยู่ในตำแหน่งที่ถูกต้อง
2. ใช้ฟังก์ชัน prepare() เสมอเมื่อสร้างแบบสอบถาม SQL
3. ตรวจสอบความสามารถของผู้ใช้เสมอก่อนที่จะเรียกใช้ฟังก์ชันที่เป็นอันตราย

9. ในความเห็นของคุณ อะไรคือสิ่งสำคัญที่สุดสามประการหรือแนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดที่ผู้ดูแลไซต์ WordPress ควรทำเพื่อรักษาความปลอดภัยให้กับไซต์และรักษาความปลอดภัย

1. อัปเดตเวอร์ชัน ปลั๊กอิน และธีม WordPress ของคุณอยู่เสมอ
2. ติดตั้งปลั๊กอินความปลอดภัย ของดีมีมากมาย เลือกสักอันแล้วนำไปใช้
3. ใช้รหัสผ่านที่ปลอดภัย ตรวจสอบให้แน่ใจว่ารหัสผ่านของคุณไม่ซ้ำกันและซับซ้อน สามารถทำได้ด้วยตัวจัดการรหัสผ่านเป็นต้น

10. คุณมีประวัติอันยาวนานในอุตสาหกรรมความปลอดภัยของเว็บแอปพลิเคชัน ฉันได้รู้จักคุณเมื่อสองสามปีก่อนผ่าน DVWA คุณสามารถอธิบายให้ผู้อ่านของเราฟังว่า DVWA คืออะไร และทำไมคุณถึงพัฒนามันขึ้นมา

Damn Vulnerable Web App (DVWA) เป็นโครงการโอเพ่นซอร์สที่ฉันสร้างขึ้นในขณะที่อยู่ในมหาวิทยาลัยเพื่อช่วยสอนตัวเองเกี่ยวกับความปลอดภัยของเว็บแอปพลิเคชัน ฉันคิดว่าวิธีที่ดีที่สุดในการเรียนรู้คือการมีตัวอย่างที่ใช้ประโยชน์ได้จริงเพื่อใช้ ฉันเปิดตัวออนไลน์ในภายหลังหลังจากได้รับความช่วยเหลือมากมายจากผู้อื่น และมันกลายเป็นที่นิยมอย่างมาก วันนี้ได้รับการจัดการโดยเพื่อนเก่าของฉัน Robin Wood ( @digininja ) ดังนั้น หากคุณมีปัญหาในการติดตั้ง เรามั่นใจว่าเขายินดีที่จะช่วยเหลือ

11. เคล็ดลับและ / หรือแหล่งข้อมูลใด ๆ ที่คุณสามารถแบ่งปันให้กับผู้ที่ชอบคุณ ต้องการเรียนรู้เพิ่มเติมเกี่ยวกับ WordPress และความปลอดภัยของแอปพลิเคชันหรือไม่?

Twitter เป็นหนึ่งในแหล่งข้อมูลที่ดีที่สุดในความคิดของฉัน ติดตามบางคนที่ใช้ชีวิตและหายใจหัวข้อเหล่านั้นและเรียนรู้จากพวกเขา บางคนที่ฉันแนะนำให้ติดตามคือ @tnash , @Random_Robbie , @Viss และมีคนอื่นอีกมากมายที่จะพูดถึง นอกจากนี้ยังมีกลุ่มความปลอดภัย Facebook WordPress ที่ยอดเยี่ยมซึ่งมีการใช้งานมาก หากคุณต้องการเจาะลึกความปลอดภัยของเว็บแอปพลิเคชัน ฉันขอแนะนำหนังสือคู่มือแฮ็กเกอร์เว็บแอปพลิเคชัน

12. อนาคตของโครงการ WPScan จะเป็นอย่างไร? มีแผนอะไรบ้าง?

เมื่อเร็วๆ นี้เราได้ออกแบบเว็บไซต์ฐานข้อมูลช่องโหว่ใหม่ทั้งหมด และใช้ความพยายามอย่างมากกับส่วนหลังของเว็บไซต์นั้น ในการจัดการช่องโหว่ เครื่องมือ WPScan CLI ของเรามีความเสถียรมาก มีมาตั้งแต่ปี 2011 ดังนั้นจึงจำเป็นต้องปรับปรุงเพียงเล็กน้อยในปัจจุบัน แผนดังกล่าวจะทุ่มเทเวลาต่อไปในการวิจัยปัญหาด้านความปลอดภัยใน WordPress ปลั๊กอินและธีม เพื่อให้แน่ใจว่าฐานข้อมูลช่องโหว่ของเราได้รับการปรับปรุงให้เป็นปัจจุบันและแม่นยำอยู่เสมอ นอกจากนี้เรายังต้องการใช้ความพยายามอย่างมากในปลั๊กอินความปลอดภัย WordPress ของเราต่อไป เราเชื่อว่าสิ่งนี้จะช่วยให้เราเป็นที่รู้จักมากขึ้นในระบบนิเวศของ WordPress

13. เพื่อช่วยสร้างแรงบันดาลใจให้ผู้อื่น โปรดบอกเราอีกสักเล็กน้อยเกี่ยวกับการเดินทางของคุณ และเพิ่มเติมอีกเล็กน้อยเกี่ยวกับหลุมพรางที่คุณพบในอาชีพการงานของคุณและอะไรช่วยให้คุณผ่านพ้นและประสบความสำเร็จในปัจจุบันได้

ฉันได้พูดเกี่ยวกับเรื่องนี้เล็กน้อยในบทนำของฉัน แต่ในที่นี้ ฉันจะพูดถึงข้อผิดพลาดของฉันในการพยายามทำงานในบริษัทเทคโนโลยีขนาดใหญ่บางแห่ง หลังจบมหาวิทยาลัย ฉันต้องการทำงานให้กับบริษัทเทคโนโลยีขนาดใหญ่ ฉันคิดว่าสิ่งนี้จะทำให้ฉันมีความน่าเชื่อถือกับเพื่อนและครอบครัว ฉันสัมภาษณ์ที่ Mozilla, Facebook, Google และแม้แต่ Automattic (ผู้สร้าง WordPress) รวมถึงคนอื่นๆ และแม้ว่าฉันจะสามารถลงพื้นที่สัมภาษณ์ได้ แต่ฉันมักจะล้มเหลวและไม่เคยได้รับการเสนองาน เป็นเรื่องยากที่จะพูดถึงความล้มเหลวของคุณ แต่ฉันเชื่อว่าสิ่งนี้สามารถช่วยให้คนอื่นเห็นว่ามีแสงสว่างที่ปลายอุโมงค์หากคุณสานต่อความฝันของคุณ

วันนี้ ฉันร่วมเป็นเจ้าของธุรกิจ WPScan ที่ทำกำไรและประสบความสำเร็จของตัวเอง ปัจจุบันบริษัทหลายแห่งที่ฉันสัมภาษณ์และล้มเหลวกลายเป็นลูกค้าของเรา และในกรณีของ Automattic ซึ่งเป็นสปอนเซอร์ของเรา ซึ่งเรารู้สึกขอบคุณมาก

บางครั้งในชีวิตคุณอาจเดินไม่ตรงเส้นทางที่คิดว่าจะนำคุณไปสู่ความฝัน บางครั้งคุณต้องสร้างเส้นทางชีวิตของคุณเอง และวางรากฐานให้ผู้อื่นเดินตามคุณ

14. ขอบคุณมากสำหรับการสัมภาษณ์ครั้งนี้ ช่วยบอกผู้อ่านของเราหน่อยได้ไหมว่าพวกเขาจะพบคุณทางออนไลน์ได้ที่ไหน

แน่นอน! ฉันทวีตมากจาก @ethicalhack3r คุณสามารถติดตามบัญชี Twitter อย่างเป็นทางการของ WPScan ได้