【挖洞】新人指南-无脑版

• 挖洞目标——wordpress插件
• 挖洞工具——xray

首先了解一下WordPress新手指南（该链接里内容较多，请斟酌查看）
以下是上述链接里的wordpress介绍的省流版：

1.环境搭建

1.1申请服务器

阿里云购买服务器：有学生优惠，可以白嫖一个月.教程：阿里云服务器购买（建议只看里面的购买阿里云服务器）。
注意，因为是为了测试插件，并不正式上线，所以不需要备案和申请域名。

1.2搭建wordpress环境

搭建过程使用宝塔面板，基本参考该教程：宝塔面板：wordpress搭建教程。
宝塔面板使用过程中如果出现问题，强烈建议去官方论坛找解决方案，基本都有答案，网址：https://www.bt.cn/bbs/forum-36-1.html

2.挖洞

2.1插件选择

• 下载人数少：插件体量小，使用人数少则漏洞不易被发现。建议选择几十人到一两百人下载量的小插件
• 更新时间靠前：插件适用当前wordpress版本。建议最近更新尽量一年内。
• 拥有插件窗口：插件会在菜单表格生成对应的插件目录项，这样便于进行输入测试。
• 选择功能熟悉：不是必须项，只是觉得这样好理解插件功能。

2.2插件扫描

使用xray进行扫描，浏览器使用插件SwitchyOmega进行代理，开启插件，点击插件按钮或者尝试输入，主要是运行插件。同时查看xray运行界面是否警告漏洞。
使用xray扫描教程：Xray扫描器的简单使用

3.漏洞利用和提交

扫描到漏洞之后，检查漏洞利用情况，并尝试进一步利用漏洞。
漏洞利用这一步很重要，看扫描出的漏洞是什么类型，然后可以去网上找相关教程，例如我扫描到的是XXS注入漏洞，就找XXS注入的漏洞利用教程。加油！
确认漏洞之后，提交到wordfence上，提交网址为：wordfence：wp漏洞提交网址，等待时间不确定，我是等了将近两个月才收到确认邮件。

该教程主要参考引用的博客如下：

• 阿里云服务器购买（建议只看里面的购买阿里云服务器）
• 使用宝塔面板搭建网站