php-wordpress-audit

Name: php-wordpress-audit
Author: 0xShe

66installs36forks

How to install php-wordpress-audit?

0xshe/php-code-audit-skill/php-wordpress-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-wordpress-audit

Installs into the current project.

Summary

--- name: php-wordpress-audit description: WordPress 框架特效安全审计工具。针对 WordPress 常见 nonce/capability/check_admin_referer、AJAX action、escape/sanitize、重定向、安全上传与远程请求等机制进行白盒静态审计，并映射到通用漏洞类型体系（AUTH/CSRF/XSS/SQL/CFG/SSRF 等）。 ---

Files · 1

View on GitHub

SKILL.md

1	# PHP WordPress 框架安全审计（php-wordpress-audit）
2
3	分析 WordPress 项目中的框架特效安全机制，重点覆盖：
4	- nonce 校验与 capability 权限检查（防止 CSRF 与越权）
5	- WordPress AJAX 回调（`admin-ajax.php` 的 `wp_ajax_` 与 `wp_ajax_nopriv_`）
6	- 输出 escaping 与模板注入风险（esc_html/esc_attr/esc_url/wp_kses 等）
7	- `$wpdb` 查询参数化与直接拼接风险
8	- 重定向（wp_redirect 与 wp_safe_redirect）
9	- 上传处理（wp_handle_upload）与可执行文件风险
10	- 远程 HTTP（wp_remote_get/wp_remote_post）与 SSRF 关联
11
12	## 输入
13	用户提供：
14	- `source_path`：WordPress 代码目录根（含 wp-content/plugins 或主题目录）
15	可选：
16	- `output_path`：输出目录路径（默认 `{source_path}_audit`）
17
18	## 输出目录
19	输出到：
20	```
21	{output_path}/framework_audit/
22	wordpress_{timestamp}.md
23	```
24
25	## 框架识别（必做）
26	必须给出识别 WordPress 的证据点（不允许空口断言）：
27	- 目录特征：`wp-content/`、`wp-admin/`、`wp-includes/`
28	- 核心文件：`wp-config.php` 或 `wp-settings.php`
29	- 插件/主题目录：`wp-content/plugins/`、`wp-content/themes/`
30
31	## 风险类型映射（必做）
32	每条发现都必须写明：
33	- 通用类型码：`AUTH` / `CSRF` / `XSS` / `SQL` / `CFG` / `SSRF` / `UPLOAD` 等
34	- 映射原因：为什么 WordPress 风险落到该类型码
35
36	## 必审清单（必做：逐项检查并输出结果）
37
38	### 1) nonce 与 CSRF 防护（CSRF/AUTH）
39	必须定位并输出：
40	- 表单输出 nonce：`wp_nonce_field` 或自定义 nonce 输出
41	- 提交处校验：`check_admin_referer`、`wp_verify_nonce` 的位置
42	- AJAX nonce 校验：`check_ajax_referer`（若存在）
43
44	判定规则：
45	- 若 nonce 存在但校验缺失或仅做在部分分支输出，则输出 CSRF 或 AUTH 风险
46
47	### 2) capability 权限校验（AUTH）
48	必须定位并输出：
49	- 所有敏感操作调用前：`current_user_can`、`user_can`、`is_user_logged_in`
50	- capability 值是否被用户控制或过宽（例如只做 `manage_options` 缺失但仍执行高权限操作）
51
52	### 3) AJAX action 与路由暴露（AUTH/CSRF）
53	必须定位并输出：
54	- `add_action('wp_ajax_{action}', {value})` 与 `add_action('wp_ajax_nopriv_{action}', {value})`
55	- 回调函数内部是否对能力与 nonce 做校验
56
57	### 4) 输出 escaping 与 XSS（XSS）
58	必须定位并输出：
59	- 直接 echo/print 用户数据的点
60	- 是否使用 `esc_html`、`esc_attr`、`esc_url`、`wp_kses_post` 等
61	- 插件主题是否禁用了过滤或使用了 raw 输出
62
63	### 5) `$wpdb` 查询参数化（SQL）
64	必须定位并输出：
65	- 正确路径：`$wpdb->prepare` 与 prepare 占位符使用
66	- 危险路径：`$wpdb->query`、`get_results`、`get_row` 直接拼接 SQL 字符串
67
68	### 6) 重定向与跳转安全（REDIR/CFG）
69	必须定位并输出：
70	- `wp_redirect` 与 `wp_safe_redirect` 使用情况
71	- 目的地来源（通常为用户输入）与是否做 scheme/host 校验
72
73	### 7) 上传与远程请求（UPLOAD/SSRF）
74	必须定位并输出：
75	- 上传：`wp_handle_upload`、`media_handle_upload`，以及文件类型/目录/访问控制是否安全
76	- 远程请求：`wp_remote_get`/`wp_remote_post`，目的 URL 是否可控以及是否做 allowlist
77
78	## 可观测 PoC（必做：框架特效可观测验证框架）
79	至少给出以下两类之一并写清观察点：
80	- CSRF：缺失 nonce 校验的 action，构造缺失或错误 nonce 请求，观察响应与状态变更
81	- AUTH：缺失 capability 校验的 action，使用低权限用户请求敏感 action，观察是否成功
82
83	PoC 输出要求：
84	- 必须包含 action 标识、真实请求入口（通常 `admin-ajax.php` 或相应表单提交路径）
85	- 必须说明你要观察的结果（HTTP 状态码与业务侧效果）
86
87	## 输出完整性检查（强制）
88	- [ ] 输出包含：nonce/capability/AJAX/XSS/SQL/REDIR/UPLOAD/SSRF 的检查结果
89	- [ ] 每条风险都有：映射类型码 + 位置证据 + 可观测验证框架 + 修复建议

People who liked this also viewed

6 picks

Type

php-wordpress-audit

66installs36forks

View on GitHub

How to install php-wordpress-audit?

0xshe/php-code-audit-skill/php-wordpress-audit

$npx -y skills add 0xShe/PHP-Code-Audit-Skill --skill php-wordpress-audit

Installs into the current project.

Summary

Files · 1

View on GitHub

SKILL.md

1	# PHP WordPress 框架安全审计（php-wordpress-audit）
2
3	分析 WordPress 项目中的框架特效安全机制，重点覆盖：
4	- nonce 校验与 capability 权限检查（防止 CSRF 与越权）
5	- WordPress AJAX 回调（`admin-ajax.php` 的 `wp_ajax_` 与 `wp_ajax_nopriv_`）
6	- 输出 escaping 与模板注入风险（esc_html/esc_attr/esc_url/wp_kses 等）
7	- `$wpdb` 查询参数化与直接拼接风险
8	- 重定向（wp_redirect 与 wp_safe_redirect）
9	- 上传处理（wp_handle_upload）与可执行文件风险
10	- 远程 HTTP（wp_remote_get/wp_remote_post）与 SSRF 关联
11
12	## 输入
13	用户提供：
14	- `source_path`：WordPress 代码目录根（含 wp-content/plugins 或主题目录）
15	可选：
16	- `output_path`：输出目录路径（默认 `{source_path}_audit`）
17
18	## 输出目录
19	输出到：
20	```
21	{output_path}/framework_audit/
22	wordpress_{timestamp}.md
23	```
24
25	## 框架识别（必做）
26	必须给出识别 WordPress 的证据点（不允许空口断言）：
27	- 目录特征：`wp-content/`、`wp-admin/`、`wp-includes/`
28	- 核心文件：`wp-config.php` 或 `wp-settings.php`
29	- 插件/主题目录：`wp-content/plugins/`、`wp-content/themes/`
30
31	## 风险类型映射（必做）
32	每条发现都必须写明：
33	- 通用类型码：`AUTH` / `CSRF` / `XSS` / `SQL` / `CFG` / `SSRF` / `UPLOAD` 等
34	- 映射原因：为什么 WordPress 风险落到该类型码
35
36	## 必审清单（必做：逐项检查并输出结果）
37
38	### 1) nonce 与 CSRF 防护（CSRF/AUTH）
39	必须定位并输出：
40	- 表单输出 nonce：`wp_nonce_field` 或自定义 nonce 输出
41	- 提交处校验：`check_admin_referer`、`wp_verify_nonce` 的位置
42	- AJAX nonce 校验：`check_ajax_referer`（若存在）
43
44	判定规则：
45	- 若 nonce 存在但校验缺失或仅做在部分分支输出，则输出 CSRF 或 AUTH 风险
46
47	### 2) capability 权限校验（AUTH）
48	必须定位并输出：
49	- 所有敏感操作调用前：`current_user_can`、`user_can`、`is_user_logged_in`
50	- capability 值是否被用户控制或过宽（例如只做 `manage_options` 缺失但仍执行高权限操作）
51
52	### 3) AJAX action 与路由暴露（AUTH/CSRF）
53	必须定位并输出：
54	- `add_action('wp_ajax_{action}', {value})` 与 `add_action('wp_ajax_nopriv_{action}', {value})`
55	- 回调函数内部是否对能力与 nonce 做校验
56
57	### 4) 输出 escaping 与 XSS（XSS）
58	必须定位并输出：
59	- 直接 echo/print 用户数据的点
60	- 是否使用 `esc_html`、`esc_attr`、`esc_url`、`wp_kses_post` 等
61	- 插件主题是否禁用了过滤或使用了 raw 输出
62
63	### 5) `$wpdb` 查询参数化（SQL）
64	必须定位并输出：
65	- 正确路径：`$wpdb->prepare` 与 prepare 占位符使用
66	- 危险路径：`$wpdb->query`、`get_results`、`get_row` 直接拼接 SQL 字符串
67
68	### 6) 重定向与跳转安全（REDIR/CFG）
69	必须定位并输出：
70	- `wp_redirect` 与 `wp_safe_redirect` 使用情况
71	- 目的地来源（通常为用户输入）与是否做 scheme/host 校验
72
73	### 7) 上传与远程请求（UPLOAD/SSRF）
74	必须定位并输出：
75	- 上传：`wp_handle_upload`、`media_handle_upload`，以及文件类型/目录/访问控制是否安全
76	- 远程请求：`wp_remote_get`/`wp_remote_post`，目的 URL 是否可控以及是否做 allowlist
77
78	## 可观测 PoC（必做：框架特效可观测验证框架）
79	至少给出以下两类之一并写清观察点：
80	- CSRF：缺失 nonce 校验的 action，构造缺失或错误 nonce 请求，观察响应与状态变更
81	- AUTH：缺失 capability 校验的 action，使用低权限用户请求敏感 action，观察是否成功
82
83	PoC 输出要求：
84	- 必须包含 action 标识、真实请求入口（通常 `admin-ajax.php` 或相应表单提交路径）
85	- 必须说明你要观察的结果（HTTP 状态码与业务侧效果）
86
87	## 输出完整性检查（强制）
88	- [ ] 输出包含：nonce/capability/AJAX/XSS/SQL/REDIR/UPLOAD/SSRF 的检查结果
89	- [ ] 每条风险都有：映射类型码 + 位置证据 + 可观测验证框架 + 修复建议

People who liked this also viewed

6 picks

Type