WordPress 安全扫描服务

wpRecon 与 WPScan、Sucuri SiteCheck 和 Wordfence 进行了比较
wpRecon	WPScan	Sucuri SiteCheck	Wordfence
扫描位置：这是一款在线服务，可通过您输入的网址查询网站的公开信息。它是一款第三方工具，与被测网站无关。	扫描位置：从您自己的机器运行命令行扫描器，扫描指定 URL。默认功能包括版本检测、主题检测和发现有趣内容，-e 选项还会添加插件、用户名和备份文件夹的扫描。	扫描位置：远程扫描器只能扫描浏览器可以访问的内容。服务器端的威胁，例如后门、钓鱼页面或邮件程序，都超出了它的扫描范围。	扫描位置：这是一个运行在 WordPress 内部的插件，它充当终端防火墙，因此可以查看用户是否登录等详细信息。它的恶意软件扫描器会将核心文件、主题文件和插件文件与 WordPress.org 的版本进行比较。
调查结果报告：它会报告服务器类型、IP 地址和 WordPress 版本、可从首页 HTML 代码中检测到的插件以及主题信息。它还会尝试列出上传文件和插件文件夹，以显示目录索引是否已启用。	调查结果报告：漏洞数据来自 WPScan WordPress 漏洞数据库，需要通过 API 令牌获取。如果没有令牌，扫描仍然会运行，但不会返回任何漏洞数据。	调查结果报告：它会查找已知的恶意软件、Google 和 PhishTank 的黑名单状态、过时的 CMS 软件、易受攻击的插件以及页面源代码中的恶意链接、重定向、iframe、JavaScript 或垃圾邮件。	调查结果报告：它可以标记恶意软件和后门，并修复已更改的核心文件、主题文件和插件文件。它还增加了登录安全功能，例如密码验证、TOTP 双因素身份验证和暴力破解防护。
许可证和费用：在 WPMU DEV 的一次评测中，该扫描器被宣传为免费扫描器，没有说明任何限制。	许可证和费用：本产品采用 WPScan 公共源代码许可协议的双重授权。渗透测试、非商业用途和自测用途免费，而商业用途（例如托管服务）则需要商业许可。免费 API 方案允许每天 25 次请求。	许可证和费用：免费扫描器。如需对客户端和服务器进行全面扫描，请联系 Sucuri 团队。	许可证和费用：免费版防火墙规则和恶意软件特征码的更新延迟30天，且仅提供论坛支持。高级版则增加了实时信息更新、实时IP黑名单、国家/地区屏蔽、更频繁的扫描以及付费工单支持。
	状态和备注： WordPress.org 插件版本已不再为非企业客户提供积极支持，建议改用 Jetpack Protect。	状态和备注：免责声明指出，远程扫描仪的访问权限有限，且无法保证扫描结果。	状态和备注：传统的基于短信的双因素身份验证将于 2026 年 7 月 1 日左右停止使用，使用该技术的网站应该迁移到 TOTP。

wpRecon 与 WPScan、Sucuri SiteCheck 和 Wordfence 进行了比较

wpRecon

WPScan

Sucuri SiteCheck

Wordfence

扫描位置： 这是一款在线服务，可通过您输入的网址查询网站的公开信息。它是一款第三方工具，与被测网站无关。

扫描位置： 从您自己的机器运行命令行扫描器，扫描指定 URL。默认功能包括版本检测、主题检测和发现有趣内容，-e 选项还会添加插件、用户名和备份文件夹的扫描。

扫描位置： 远程扫描器只能扫描浏览器可以访问的内容。服务器端的威胁，例如后门、钓鱼页面或邮件程序，都超出了它的扫描范围。

扫描位置： 这是一个运行在 WordPress 内部的插件，它充当终端防火墙，因此可以查看用户是否登录等详细信息。它的恶意软件扫描器会将核心文件、主题文件和插件文件与 WordPress.org 的版本进行比较。

调查结果报告： 它会报告服务器类型、IP 地址和 WordPress 版本、可从首页 HTML 代码中检测到的插件以及主题信息。它还会尝试列出上传文件和插件文件夹，以显示目录索引是否已启用。

调查结果报告： 漏洞数据来自 WPScan WordPress 漏洞数据库，需要通过 API 令牌获取。如果没有令牌，扫描仍然会运行，但不会返回任何漏洞数据。

调查结果报告： 它会查找已知的恶意软件、Google 和 PhishTank 的黑名单状态、过时的 CMS 软件、易受攻击的插件以及页面源代码中的恶意链接、重定向、iframe、JavaScript 或垃圾邮件。