Cara Install WPScan di Ubuntu untuk Keamanan WordPress

Keamanan WordPress tidak cukup hanya dengan memperbarui core, plugin, dan tema secara rutin. Jika Anda mengelola website melalui VPS, install WPScan di Ubuntu dapat menjadi langkah awal untuk membantu menemukan potensi kerentanan sebelum dimanfaatkan oleh pihak yang tidak bertanggung jawab.

WPScan adalah vulnerability scanner open source yang dirancang khusus untuk WordPress. Tool ini dapat digunakan untuk memeriksa potensi kerentanan pada WordPress core, plugin, dan tema yang terpasang di website. Dengan melakukan scanning secara berkala, Anda dapat mengetahui komponen yang berpotensi memiliki celah keamanan dan menentukan tindakan yang diperlukan pada WordPress.

Dalam artikel ini, Anda akan mempelajari cara install WPScan di Ubuntu, mulai dari persiapan dan instalasi hingga menjalankan pemindaian pertama pada website WordPress.

Apa Itu WPScan?

WPScan adalah salah satu tool security scanner gratis (open source) yang dikembangkan khusus untuk melakukan audit keamanan pada website berbasis WordPress. Tool ini mampu mengidentifikasi berbagai potensi kerentanan yang terdapat pada WordPress, seperti:

Versi WordPress yang digunakan.
Plugin yang sudah usang atau memiliki celah keamanan.
Theme yang rentan terhadap eksploitasi.
Username pengguna yang dapat di-enumerate.
Konfigurasi keamanan WordPress.

Kelebihan WPScan dibandingkan scanner umum lainnya adalah karena seluruh proses analisis difokuskan pada ekosistem WordPress. Selain itu, WPScan memiliki Vulnerability Database yang terus diperbarui sehingga hasil pemindaiannya lebih akurat.

Fitur WPScan

Berikut adalah beberapa fitur utama dari WPScan:

Deteksi versi WordPress.
Pemeriksaan plugin dan theme.
Integrasi dengan API Vulnerability Database.
Enumerasi pengguna WordPress.
Output dalam format JSON.
Mendukung otomatisasi melalui script maupun cron job.

Persiapan Sebelum Install WPScan

Sebelum memulai proses instalasi, pastikan Anda telah memenuhi beberapa persyaratan berikut:

VPS dengan sistem operasi Ubuntu (versi 20.04, 22.04, atau 24.04 LTS). Panduan ini dapat diterapkan pada ketiga versi tersebut.
Akses SSH ke VPS dengan pengguna yang memiliki hak akses sudo (biasanya pengguna root atau pengguna non-root dengan hak sudo).
Akun WPScan (gratis) untuk mendapatkan API Token yang diperlukan saat pemindaian kerentanan.
Pastikan website WordPress telah terinstall.

Cara Install WPScan di Ubuntu

Setelah semua persiapan telah dipenuhi, selanjutnya Anda bisa mengikuti panduan berikut untuk Install WPScan di Ubuntu. Dalam panduan ini, kami menggunakan layanan VPS KVM dari Rumahweb dengan OS Ubuntu 22.04.

Step 1. Membuat Akun WPScan

Kunjungi situs resmi WPScan, kemudian isi formulir pendaftaran dengan informasi berikut:

Nama lengkap
Alamat email aktif
Kata sandi yang kuat

Centang kotak I agree to the terms of service, lalu klik tombol Register.

Setelah pendaftaran berhasil, buka kotak masuk email Anda dan cari email konfirmasi dari WPScan. Klik tautan Confirm my account yang terdapat di dalam email tersebut untuk mengaktifkan akun.

Step 2. Mendapatkan API Token

Setelah akun aktif, masuk (Sign In) ke WPScan menggunakan email dan kata sandi yang telah didaftarkan.

Pada halaman Dashboard, Anda akan langsung melihat API Token yang tersedia. Klik tombol Copy untuk menyalin token tersebut dan simpan di tempat yang aman.

Catatan: Akun gratis WPScan memberikan kuota 25 API request per hari. Satu kali pemindaian WordPress rata-rata menggunakan sekitar 1 request untuk versi WordPress, 1 request per plugin yang terdeteksi, dan 1 request untuk tema. Jika kuota harian habis, WPScan tetap berfungsi normal namun tanpa data kerentanan.

Step 3. Akses VPS Dengan SSH dan Install Dependensi

Masuk ke VPS menggunakan SSH dengan cara buka aplikasi terminal di komputer Anda. Jika Anda menggunakan Windows, gunakan PowerShell, Windows Terminal, atau aplikasi seperti PuTTY. Untuk pengguna macOS dan Linux, gunakan aplikasi Terminal bawaan. Detail cara login VPS SSH dapat Anda ikuti pada artikel berikut: Cara Login VPS SSH.

Sebelum menginstal dependensi, perbarui seluruh paket di sistem Ubuntu agar versi yang terpasang merupakan versi terbaru:

sudo apt update && sudo apt upgrade -y

Setelah sistem diperbarui, instal seluruh dependensi yang diperlukan oleh WPScan dengan satu perintah:

sudo apt install ruby ruby-dev build-essential libcurl4-openssl-dev libxml2 libxml2-dev libxslt1-dev libgmp-dev zlib1g-dev git curl -y

Step 4. Install WPScan

WPScan dapat dipasang menggunakan dua metode yaitu melalui RubyGems atau dari Source Code (Git Clone). Berikut penjelasan masing-masing metode.

Metode 1: Instalasi Melalui RubyGems (Direkomendasikan)

Metode ini merupakan cara paling sederhana dan direkomendasikan oleh tim WPScan. Anda hanya perlu menjalankan satu perintah:

sudo gem install wpscan

Tunggu hingga proses instalasi selesai. RubyGems akan secara otomatis mengunduh dan menginstal WPScan beserta seluruh pustaka Ruby yang diperlukan.

Jika Anda mengalami kendala terkait izin (permission error), gunakan perintah alternatif:

sudo gem install -n /usr/local/bin wpscan

Metode 2: Instalasi dari Source Code (Git Clone)

Metode ini mengkloning kode sumber WPScan langsung dari repositori GitHub:

git clone https://github.com/wpscanteam/wpscan.git
cd wpscan
sudo gem install bundler
bundle install --without test development

Setelah proses selesai, Anda dapat menjalankan WPScan dari direktori tersebut menggunakan ./bin/wpscan. Metode ini lebih cocok jika Anda ingin memodifikasi kode sumber atau berkontribusi pada proyek WPScan.

Step 5. Verifikasi Instalasi

Setelah instalasi selesai, periksa apakah WPScan telah berhasil terpasang dengan benar. Jalankan perintah:

wpscan --version

Jika instalasi berhasil, terminal akan menampilkan informasi versi WPScan seperti berikut:

Selanjutnya, perbarui basis data kerentanan lokal WPScan dengan perintah:

wpscan --update

Proses ini akan mengunduh data kerentanan terbaru dari server WPScan dan menyimpannya di direktori ~/.cache/wpscan/db.

Step 6: Menjalankan Pemindaian WPScan

Setelah instalasi selesai dan basis data diperbarui, Anda siap menjalankan pemindaian pertama terhadap situs WordPress.

Pemindaian Dasar

Jalankan pemindaian paling dasar untuk melihat informasi umum situs WordPress:

wpscan --url https://domain-wordpress.com

Ganti https://domain-wordpress.com dengan alamat situs WordPress Anda.

Hasil pemindaian dasar akan menampilkan:

Versi WordPress yang terdeteksi (jika readme.html atau meta generator tag terbuka)
Tema aktif
Keberadaan file readme.html
Status XML-RPC (xmlrpc.php)
Status pendaftaran pengguna
Informasi header respons HTTP
Berbagai temuan menarik lainnya (interesting findings)

Pemindaian dengan API Token

Untuk mendapatkan data kerentanan dari database WPVulnDB, tambahkan API Token yang telah diperoleh pada Langkah 1 ke dalam perintah WPScan.

wpscan --url https://domain-wordpress.com --api-token ISI_TOKEN_ANDA

Dengan API Token, WPScan tidak hanya mendeteksi versi WordPress, tema, dan plugin yang digunakan, tetapi juga mencocokkannya dengan database kerentanan terbaru.

Hasil scan akan menampilkan informasi seperti status kerentanan, nomor CVE (Common Vulnerabilities and Exposures), tingkat keparahan (CVSS), versi yang telah diperbaiki (Fixed in), serta referensi untuk mempelajari kerentanan tersebut. Tanpa API Token, WPScan tetap dapat melakukan enumerasi komponen WordPress, namun informasi kerentanan yang ditampilkan akan terbatas.

Pemindaian Lengkap

Jika ingin melakukan analisis keamanan WordPress yang lebih komprehensif, Anda dapat memanfaatkan fitur enumeration pada WPScan. Fitur ini memungkinkan WPScan mengidentifikasi berbagai komponen WordPress yang berpotensi memiliki celah keamanan, seperti plugin, tema, akun pengguna, file backup konfigurasi, hingga file ekspor database yang dapat diakses secara publik.

Jalankan perintah berikut untuk melakukan pemindaian lengkap:

wpscan --url https://domain-wordpress.com -api-token ISI_TOKEN_ANDA \
--enumerate vp,vt,u,cb,dbe \ --plugins-detection aggressive

Berikut penjelasan opsi enumeration:

Opsi	Fungsi
vp	Memindai plugin yang rentan (vulnerable plugins)
vt	Memindai tema yang rentan (vulnerable themes)
u	Mencacah pengguna (user enumeration)
cb	Mencari backup file konfigurasi (config backups)
dbe	Mencari database export yang terekspos
p	Memindai seluruh plugin (pasif hanya membaca kode sumber halaman)
ap	Memindai seluruh plugin (agresif memeriksa path plugin secara langsung)

Mode deteksi plugin dapat diatur dengan –plugins-detection:

passive : Hanya menganalisis kode sumber halaman (lebih senyap, lebih sedikit request).
aggressive : Memeriksa path plugin secara langsung (lebih banyak temuan, lebih banyak request).
mixed : Menggabungkan keduanya (nilai bawaan).

Setelah proses pemindaian selesai, WPScan akan menampilkan daftar plugin, tema, atau komponen WordPress yang berhasil dideteksi beserta informasi kerentanannya. Jika menggunakan API Token, hasil scan juga akan menyertakan detail seperti judul kerentanan, versi yang telah diperbaiki (Fixed in), dan referensi CVE atau database WPScan. Informasi ini dapat digunakan sebagai acuan untuk menentukan apakah komponen yang digunakan perlu segera diperbarui atau diganti

Berikut merupakan contoh hasil pemindaian menggunakan WPScan:

Menyimpan Hasil Pemindaian

WPScan menyediakan opsi untuk menyimpan hasil pemindaian ke dalam file sehingga lebih mudah dianalisis, didokumentasikan, atau dijadikan laporan keamanan. Gunakan parameter –output untuk menentukan nama file hasil pemindaian.

Contoh menyimpan hasil pemindaian ke dalam file teks:

wpscan --url https://domain-wordpress.com \ --api-token ISI_TOKEN_ANDA \ --enumerate vp,vt,u \ --output hasil-scan.txt

Selain format teks, WPScan juga mendukung penyimpanan hasil pemindaian dalam format JSON. Format ini cocok jika hasil scan akan diproses lebih lanjut oleh aplikasi lain atau diintegrasikan dengan sistem otomatisasi.

Jalankan perintah berikut untuk menyimpan hasil pemindaian dalam format JSON:

wpscan --url https://domain-wordpress.com \ --api-token ISI_TOKEN_ANDA \ --enumerate vp,vt,u \ --format json \ --output hasil-scan.json

Setelah proses selesai, file hasil pemindaian akan tersimpan pada direktori tempat perintah dijalankan. Anda dapat membuka file tersebut menggunakan editor teks atau menggunakannya sebagai referensi untuk analisis keamanan lebih lanjut.

Step 7. Memperbarui WPScan dan Database Kerentanan

Agar hasil pemindaian tetap akurat, pastikan Anda selalu menggunakan versi terbaru dari WPScan beserta database kerentanannya. Pembaruan ini penting karena database WPScan terus diperbarui untuk mencakup kerentanan WordPress, plugin, dan tema yang baru ditemukan.

Untuk memperbarui database kerentanan, jalankan perintah berikut:

wpscan --update

Jika Anda menginstal WPScan melalui RubyGems, Anda juga dapat memperbarui aplikasinya ke versi terbaru dengan perintah berikut:

sudo gem update wpscan

Disarankan untuk menjalankan pembaruan secara berkala, terutama sebelum melakukan pemindaian keamanan. Dengan demikian, WPScan dapat mendeteksi kerentanan terbaru yang mungkin belum tersedia pada versi sebelumnya.

Tips Keamanan Tambahan

Setelah pemindaian selesai, perhatikan beberapa langkah berikut untuk meningkatkan keamanan WordPress Anda:

Perbarui WordPress, plugin, dan tema ke versi terbaru jika ditemukan kerentanan.
Nonaktifkan XML-RPC apabila tidak digunakan oleh website atau plugin.
Batasi percobaan login menggunakan plugin seperti Limit Login Attempts untuk mencegah serangan brute force.
Hapus atau sembunyikan file readme.html agar informasi versi WordPress tidak mudah diketahui.
Nonaktifkan user enumeration untuk mengurangi risiko penyalahgunaan akun pengguna.
Gunakan kata sandi yang kuat dan aktifkan autentikasi dua faktor (2FA) jika memungkinkan.
Lakukan pemindaian secara berkala, terutama setelah memperbarui WordPress, plugin, atau tema.

Penutup

Dengan install WPScan di Ubuntu, Anda kini dapat melakukan pemeriksaan keamanan WordPress secara mandiri, mulai dari instalasi, penggunaan API Token, hingga menjalankan pemindaian dan memperbarui database kerentanan secara berkala.

Untuk perlindungan yang lebih optimal, kombinasikan WPScan dengan update WordPress, backup rutin, SSL, dan konfigurasi server yang aman. Jika membutuhkan server dengan kontrol dan resource yang lebih fleksibel, VPS Indonesia dari Rumahweb dapat menjadi pilihan untuk mendukung website WordPress yang lebih aman dan stabil.