Ho scansionato un client's acquista plugin e ne ho recuperati tre. Il sito ne funzionava ventisei. Niente era rotto e nulla era nascosto di proposito: il loro plugin di ottimizzazione aveva unito ogni script in un unico file combinato e un file unito non ha cartelle di plugin nel suo nome. La scansione era accurata su ciò che la pagina caricava e inutile come inventario, che è la distinzione di cui tratta questa guida.
Rilevare plugin dall'esterno di un sito è veramente utile e genuinamente limitato, e la maggior parte degli strumenti ti dice solo la prima metà Ecco come funziona il rilevamento, cosa può e non può significare ogni risultato e come leggere un breve elenco senza trarre la conclusione sbagliata Il Rilevatore di plugin WordPress segnala entrambe le metà di proposito.
tl; dr: Il rilevamento dei plugin funziona trovando i file caricati da
/wp-content/plugins/<slug>/in una pagina Tutto ciò che non carica un file front-end è invisibile: plugin solo admin, plugin che si attivano su altre pagine e tutto ciò le cui risorse un plugin di cache si fondeva in un unico file combinato Tratta il risultato come un pavimento, mai un totale La scansione di una pagina interna invece della home page trova in modo affidabile di più.
Come funziona effettivamente il rilevamento dei plugin?
Un plugin che fa qualsiasi cosa visibile deve caricare qualcosa dalla propria cartella WordPress serve i file del plugin da un percorso fisso, /wp-content/plugins/<slug>/quindi qualsiasi foglio di stile, script o immagine caricata da lì nomina il plugin che lo possiede:
<link rel="stylesheet" href="/wp-content/plugins/contact-form-7/includes/css/styles.css?ver=5.9.3" />
<script src="/wp-content/plugins/woocommerce/assets/js/frontend/cart-fragments.min.js?ver=9.2.3"></script>
Cioè contact-form-7 e woocommerce, dichiarato dalla pagina piuttosto che dedotto da come si comporta Alcuni plugin si annunciano ancora più chiaramente: una classe corporea, uno spazio dei nomi REST sotto /wp-json/, un meta tag, un commento HTML, un nome cookie.
La versione solitamente scorre nella stringa di query. ?ver=5.9.3 è ciò che WordPress aggiunge per il busting della cache e nella maggior parte delle installazioni è la versione reale di plugin' I siti che eliminano le stringhe di query di versione per motivi di memorizzazione nella cache o che codificano un valore, non riporteranno nulla o qualcosa di stantio.
| Prova | esempio | Fiducia |
|---|---|---|
| Percorso asset | /wp-content/plugins/woocommerce/... |
Il plugin ha caricato un file in questa pagina |
| Stringa di query versione | ?ver=9.2.3 |
Solitamente la versione installata |
| Spazio dei nomi REST | /wp-json/wc/v3 |
Il plugin registrava percorsi API |
| Classe corporea | woocommerce-page |
Il plugin è attivo su questo tipo di pagina |
Perché così tanti plugin rimangono invisibili?
Quattro configurazioni ordinarie nascondono i plugin e nessuna di queste significa che il sito stia facendo qualcosa di sbagliato.
I plugin di solo amministrazione non caricano nulla per un visitatore. Pianificatori di backup, editor SEO, strumenti di migrazione, user role manager, utilità di staging: fanno il loro lavoro all'interno wp-admin e non aggiungere nulla al front-end Una grande quota di qualsiasi sito reale's elenco plugin è in questa categoria ed è invisibile dall'esterno per progettazione.
I plugin si attivano sulle pagine a cui servono. Un plugin per il checkout si carica alla cassa Un plugin per il modulo si carica dove si trova la forma Scansionare una homepage e concludere che il sito ha tre plugin è come leggere la prima pagina di un libro e riportare il suo conteggio delle parole.
I plugin di ottimizzazione cancellano i nomi delle cartelle. Questo è quello grande Un plugin che concatena ogni script e foglio di stile in un unico file sotto una cartella cache rimuove i nomi delle cartelle del plugin di tutto ciò che ha unito, incluso il suo Il codice è ancora tutto lì Le prove non lo sono.
Host e CDN riscrivono i percorsi delle risorse. Alcuni host gestiti proxy ogni file statico attraverso un percorso che non contiene più /wp-content/plugins/. Stesso effetto, applicato a tutto il sito in una volta.
Quindi un risultato vuoto ha almeno cinque significati: nessun plugin è attivo, nessuno carica risorse front-end, un ottimizzatore le ha unite, l'host ha riscritto i percorsi o il sito non è WordPress Uno strumento che segnala & quot;0 plugin e quot; senza separarli non segnala un risultato, segnala il proprio punto cieco.
Cosa significa un nome di cartella senza un nome reale?
Il rilevamento ti dà un slug. Trasformando quel slug in un nome pubblicato, una versione corrente e un conteggio delle installazioni richiede di confrontarlo con la directory del plugin e non tutti i plugin sono in uno.
Un semplice slug senza voce corrispondente significa quasi sempre una delle tre cose È un plugin premium venduto al di fuori di WordPress.org, che descrive la maggior parte dei costruttori di pagine commerciali, plugin di moduli e sistemi di appartenenza È personalizzato, scritto per quell'unico sito da chi lo ha costruito O la cartella è stata semplicemente rinominata, cosa che alcuni proprietari di siti fanno deliberatamente.
Questo è di per sé un segnale utile Un sito il cui elenco di plugin è per lo più ineguagliato slugs sta eseguendo software commerciale o su misura, e questo ti dice qualcosa sul budget dietro di esso prima di aver posto una domanda a qualcuno.
Come si ottiene un quadro più completo?
Scansiona più di una pagina Questa è la singola abitudine di maggior valore, e non costa nulla:
- La homepage, per l'arredamento a livello di sito: analisi, banner di consenso, page builder, slider.
- Un post sul blog, per plugin lato contenuto: post correlati, sommario, condivisione social, sistemi di commento.
- Una pagina di prodotto o di prezzi, per il commercio: il plugin del negozio, gateway di pagamento, cambiavalute.
- Una pagina di contatto, per moduli, mappe e protezione dallo spam.
Prendi il sindacato Anche allora è un piano, ma uno molto più alto di quello che dà ogni singola pagina.
la /wp-json/ anche Index merita un'occhiata, quando è abilitato I plugin che registrano le rotte REST vengono visualizzati lì per spazio dei nomi indipendentemente da ciò che è stato caricato il front-end, quindi cattura parte di ciò che i percorsi delle risorse perdono:
curl -s https://example.com/wp-json/ | grep -o '"namespace":"[^"]*"' | sort -u
La scansione di qualcuno's sito è accettabile?
Leggere una pagina pubblica è una richiesta ordinaria Appare nel sito's access log esattamente come una visita da un browser, e non effettua il login, non invia nulla o tocca l'area admin Il Documentazione di sicurezza WordPress si preoccupa di ciò che una richiesta autenticata o di sondaggio può fare, non di ciò che una pagina pubblica volontariamente a ogni visitatore.
Dove diventa più nitido è l'intento Un elenco di plugin è la ricognizione se lo usi come uno: una versione obsoleta di un plugin con una vulnerabilità nota è esattamente ciò che un utente malintenzionato cerca Questo è un motivo per mantenere aggiornati i tuoi plugin piuttosto che un motivo per fingere che le informazioni siano segrete, dal momento che chiunque può leggere la stessa pagina Se stai verificando un sito che non possiedi, attieniti a ciò che ti dice la pagina e lascialo lì.
A cosa serve il risultato
Utilizzato entro i suoi limiti, una scansione di plugin esterno risponde rapidamente alle domande reali Quale generatore di pagine sta utilizzando questo sito, quindi posso citare per le modifiche Questo negozio è su WooCommerce o qualcosa di ospitato Qual è il plugin del modulo, quindi posso abbinarlo Questo concorrente esegue lo stesso stack SEO che siamo È il mio sito di staging che carica accidentalmente un plugin che ho disabilitato localmente.
Quello che non può fare è produrre un inventario Per questo hai bisogno dell'amministratore, wp plugin list da cima a fondo WP-CLI, o qualcuno che ha il login.
Se la domanda è cosa sta rendendo la pagina piuttosto che cosa sta caricando su di essa, quello è il Rilevatore di temi WordPress, che legge il tema's proprio style.css per il nome, la versione e il genitore E quando sei tu a pubblicare un plugin, il generatore readme scrive il readme.txt questo decide come si legge il tuo plugin' l'elenco delle directory.
