無料のWordPressのセキュリティ診断サービス「WPRcon」をリリース【個人開発】


「WPRcon」という無償で利用可能なWordPressサイト向けのセキュリティ診断サービスを公開しました。

WPRecon
https://wordpress.cloudsecurity.jp/auth/login

SaaSとして提供しており、アカウントを登録するだけで利用可能です。

▼ サイトロゴ
<img width="300" alt="ツールロゴ" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/09f9527a-e480-a85e-6740-308b572bf56a.png">

## モチベーション

　当ツールはWordPressで構築されたサイトのセキュリティ検査に特化していますが、WordPressに絞った理由は２つあります。

1. 広く普及しており被害報告が多い
2. サイト運用者がエンジニアでない場合が多い

そのため、「セキュリティプラグインの選定ができない」や「プラグインの管理方法が分からない」という方に向けた、導入が非常に簡単なセキュリティツールがあったらいいなと思い開発しました。

### 脆弱なプラグインの検出

そしてWordPress特有の脆弱性として、導入プラグインに脆弱性が発見されることが多々あります。

そのプラグインの検出が日々難しくなってきているのが現状です。というのも、WordPressの脆弱性データベースが各社で独占するようになってきており、脆弱性情報を参照したOSSの検出スキャナを作成するとCNAからお叱りを受けるようになってきています。
（※ CNA: CVE Numbering Authorityの略。脆弱性の受付窓口のようなもの）

そのため１つの脆弱性データベースを参照するだけ検出ロジックでは漏れが発生します。
そのため当ツールを開発しました。（SaaSだと検出ロジックはブラックボックスなので実現しました）

## 使い方

アカウントを作成します。

<img width="600" alt="アカウント登録_1.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/a37700c5-a856-5e4e-4055-88667b068448.png">

登録したメールアドレスに確認メールが届きますので、記述されている「メールアドレスの確認」ボタンを押します。

<img width="600" alt="アカウント登録_2.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/6d6cf6eb-6831-4f84-19c4-d1844edc57e0.png">

登録した認証情報でログインします。

<img width="600" alt="アカウント登録_3.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/dce91d5e-dbc1-469f-f258-a0e04475f1d7.png">

ログインが完了すると以下の画面が表示されます。

<img width="600" alt="アカウント登録_4.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/b1173c9e-fef5-d061-c25e-0325a280f369.png">


### 検査の実行

まずは検査対象のサイトを登録します。「監視サイトの追加」から検査対象を登録できます。

<img width="600" alt="検査_1.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/cac57e18-7958-b38a-877a-c4712422ffbc.png">

検査サイトの登録後、「詳細」ボタンを押します。

<img width="600" alt="検査_2.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/d98290f9-027a-fbb6-b3e3-fcdfa6d560d6.png">

「スキャン」ボタンを押すと検査実行の確認モーダルが表示されるので「実行」ボタンを押します。

<img width="600" alt="検査_3.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/a15589c3-c5f9-fd7b-fa3f-f1c90fd331e7.png">

検査が開始されるとステータスが「RUNNING」の行が追加されます。

検査が完了するまで、しばらく待ちます・・・。

<img width="600" alt="検査_4.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/eeab7caf-a9b0-ccd7-468f-64dda980c4e6.png">

検査が完了するとステータスが「COMPLETE」となり、検査結果を閲覧できるようなります。

<img width="600" alt="検査_5.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/fb9fb119-b5fc-d76a-206f-1e91dc88bbd2.png">

### 検査結果

検査結果では以下のものを確認できます。

- サイトのスクリーンショット
- サイト内で通信しているドメインのリスク評価
- 検出した脆弱性（問題点）
- 既知の脆弱性が報告されているプラグインの有無

<img width="600" alt="検査_6.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/592d255e-a023-b4aa-6333-cc6c0347b336.png">

WordPressでよく見られる脆弱性（問題点）の洗い出しを行います。

<img width="600" alt="検査_7.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/a0f709b9-0b21-6661-ab27-44af206aa461.png">

どのファイルを参照してプラグインのバージョンを検出したのかといった情報が表示されます。

<img width="600" alt="検査_8.png" src="https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/16012/7db9d10d-6f50-26b6-3749-936072d8bc0c.png">

## まとめ

当ツールが普及してサイトの改ざんといった問題が減ってほしいと思う次第です。

ちなみにクラウド環境（AWS、Azure）のクラウド環境のセキュリティ診断サービスもあったりします。

https://qiita.com/motikan2010/items/5233f4d5f95720c5dea1