推荐开源项目：wpgarlic —— 高效的 WordPress 插件模糊测试工具

推荐开源项目：wpgarlic —— 高效的 WordPress 插件模糊测试工具

wpgarlic A proof-of-concept WordPress plugin fuzzer 项目地址: https://gitcode.com/gh_mirrors/wp/wpgarlic

项目介绍

wpgarlic 是一个基于模糊测试技术的 WordPress 插件漏洞挖掘工具，它已经成功发现了超过 300 个安装在近 3000 万个网站上的 WordPress 插件中的漏洞。该项目通过高效的模糊测试技术，帮助研究人员和安全工程师快速识别和修复潜在的安全风险。

项目技术分析

wpgarlic 采用了一种创新的模糊测试技术，具体技术细节可在 Kazet.cc 上查阅。该工具通过随机生成和注入特定的测试载荷，模拟各种异常输入，从而触发插件中的潜在漏洞。测试结果会生成详细的报告，供用户进一步分析和验证。

技术亮点

• 自动化测试：一键启动模糊测试，无需手动编写测试用例。
• 高覆盖率：通过随机载荷和多种测试场景，确保较高的代码覆盖率。
• 灵活配置：用户可以根据需要调整测试参数和载荷，提升测试效果。

项目及技术应用场景

wpgarlic 适用于以下场景：

1. 安全研究人员：用于大规模扫描 WordPress 插件，发现潜在的安全漏洞。
2. 开发人员：在插件开发过程中进行安全测试，提前发现和修复漏洞。
3. 网站管理员：定期对已安装的插件进行安全检查，保障网站安全。

项目特点

1. 高效的漏洞发现能力

wpgarlic 已经成功发现了超过 300 个漏洞，证明了其在漏洞挖掘方面的高效性。通过自动化测试，大大减少了人工排查的时间和工作量。

2. 易用性

项目提供了详细的用户指南和示例，用户只需简单几步即可启动模糊测试，并生成易于理解的测试报告。

3. 可扩展性

wpgarlic 允许用户自定义测试参数和载荷，甚至可以通过修改源代码来扩展其功能，满足不同用户的特定需求。

4. 开源免费

作为一个开源项目，wpgarlic 完全免费，用户可以自由使用和修改，同时也鼓励社区贡献和改进。

使用示例

任意文件读取漏洞发现

假设你在测试 responsive-vector-maps 插件的 6.4.0 版本：

./bin/fuzz_object plugin responsive-vector-maps --version 6.4.0

测试完成后，使用以下命令查看结果：

./bin/print_findings data/object_fuzz_results/

你将看到类似以下输出，提示存在任意文件读取漏洞：

反射型 XSS 漏洞发现

假设你在测试 page-builder-add 插件的 1.4.9.4 版本：

./bin/fuzz_object plugin page-builder-add --version 1.4.9.4

查看结果时，你会看到已知载荷被回显，提示存在 XSS 漏洞：

存储型 XSS 漏洞发现

测试 duplicate-page-or-post 插件的 1.4.6 版本：

./bin/fuzz_object plugin duplicate-page-or-post --version 1.4.6

结果中将显示 update_option 被调用，提示存在存储型 XSS 漏洞：

总结

wpgarlic 是一款功能强大且易于使用的 WordPress 插件模糊测试工具，适用于安全研究人员、开发人员和网站管理员。通过高效的模糊测试技术，帮助用户快速发现和修复潜在的安全漏洞，保障 WordPress 网站的安全。立即尝试 wpgarlic，提升你的 WordPress 安全防护水平！

项目地址：GitHub - wpgarlic

wpgarlic A proof-of-concept WordPress plugin fuzzer 项目地址: https://gitcode.com/gh_mirrors/wp/wpgarlic