Argus – nowoczesne narzędzie do hardeningu i testów bezpieczeństwa WordPress

Dwa tygodnie temu na GitHub’ie pojawiło się bardzo ciekawe narzędzie Argus przeznaczone do weryfikacji zabezpieczeń witryn internetowych zbudowanych z wykorzystaniem najpopularniejszego systemu CMS – WordPress (obsługuje około 43% wszystkich witryn dostępnych w Internecie). Autorem Argusa jest hiszpański programista full stack Rodney Dhavid Jiménez Chacín. Narzędzie jest zdecydowanie warte uwagi z powodu prostoty używania, gotowości do użycia AI, ale również możliwości przygotowania przejrzystego i zwyczajnie ładnego raportu z testów – to może nie jest najważniejsza funkcjonalność, ale w porównaniu do innych (w tym komercyjnych) rozwiązań do testów bezpieczeństwa szablon raportu HTML z Argusa jest naprawdę dobrze sformatowany.

Ograniczenie zastosowania do samego WordPress może okazać się dużą zaletą Argusa. Lepiej dostosować narzędzie pod konkretny system (który przecież i tak jest rozbudowaną platformą) niż tworzyć kolejne proste skrypty obsługujące wszystkie systemy CMS/frameworki (niezależnie od języka programowania), ale za to znajdujące tylko podstawowe błędy – a tych może być bardzo mało, bo znane rozwiązania do budowania aplikacji posiadają odpowiednie zabezpieczenia „by design” (co oczywiście nie wyklucza sensowności testów bezpieczeństwa). Tym bardziej że w przypadku WordPress niestety łatwo o zastosowanie kiepskiej konfiguracji (także serwera HTTP – pewne charakterystyczne błędy dla aplikacji PHP), a powszechna znajomość kodu i obsługi tego systemu nie jest pozytywną wiadomością z punktu widzenia bezpieczeństwa.

Argus napisany został w języku Python, więc z założenia można stwierdzić, że przygotowanie środowiska do uruchamiania testów nie będzie złożonym procesem. W repozytorium dostępne są też gotowe obrazy Dockerfile i pliki docker-compose.yml. Odpowiednie instrukcje są szczegółowo przedstawione w README.

W celu zaprezentowania Argusa uruchomiłem dwa lokalne środowiska. Pierwsze z nich – test-wp.avlab.pl – zawiera zainstalowany system WordPress, a kolejne – test-bedrock.avlab.pl – specjalną, customową wersję tego systemu nazwaną Bedrock (mocno polecam zapoznać się z tym tematem pod adresem https://roots.io/bedrock/). Oba środowiska działają na ustawieniach domyślnych (wykonana została jedynie instalacja WordPress), co udowodni, że zmodyfikowana struktura katalogów (m.in. plik .env z konfiguracją strony – alternatywa dla wp-config.php – znajdujący się katalog wyżej od katalogu root witryny) zastosowana w Bedrock ma duże znaczenie w kontekście bezpieczeństwa.

Oba środowiska mają zastosowaną konfigurację serwerów HTTP, którą można określić jako „działającą” – spełnia swoje założenia (obsługa HTTPS, interpreter PHP), ale nie wykonano żadnego hardeningu konfiguracji. Jest to absolutnie minimalna konfiguracja umożliwiająca prawidłowe działanie systemu WordPress, jak i praktycznie dowolnej innej aplikacji napisanej w języku PHP.

Należy też zaznaczyć, że Argus wykonuje testy w dwóch trybach – normalnym (domyślnie) i „agresywnym”. Na wyróżnienie zasługuje fakt, że drugi z tych trybów wymaga udowodnienia, że osoba wykonująca test posiada jakiekolwiek uprawnienia do zarządzania danym serwisem WordPress i w związku tym musi umieścić specjalny plik w podanej lokalizacji bądź dodać odpowiednie rekordy DNS. Takie zabezpieczenie w skrypcie interpretowanego języka Python nie jest może szczególnie wygórowane, natomiast z dużą pewnością skutecznie ogranicza wykorzystanie Argusa przez tzw. script-kiddies – osoby z małą wiedzą techniczną, które chcą użyć swoich „umiejętności hakerskich”. Implementacja tego rozwiązania nie jest zresztą standardem na rynku podobnych narzędzi.