我想知道，https://wpsec.com 之类的网站如何找到我的 wordpress 主题和插件。
当我尝试访问目录mydomain.com/wp-content/themes/my-theme 时，我得到了 404，但他们是如何得到这个的。
我的防火墙和安全恶意软件插件没用吗？
【问题讨论】：
标签： wordpress security wordpress-theming privacy
考虑到这一点，我对它的工作原理的猜想是这样的：
几乎所有插件/主题都有 .css 和/或 .js 文件。对于插件，这些存储在插件的安装目录中 - .../wp-content/plugins/some-plugin-directory。这些 HTTP 请求的 URL 如下所示 - httpx://some.host.com/wp-content/plugins/some-plugin-directory/js/some-javascript-file.js。从这些请求中，wpsec 可以提取 'some-plugin-directory'，这是 WordPress 用来识别插件的。如果插件位于 WordPress 存储库中，则 wpsec 可以下载整个插件并提供更多信息。如果插件是专有的，那么 wpsec 可能只能访问可公开访问的 .js 和 .css 文件。在我的安装中，我有一个专有插件，wpsec 找到了安装目录 - 'some-plugin-directory' 但没有报告版本可能是因为它无法访问 readme.txt 或任何 .php 文件。因此，如果这个猜想是正确的，如果一个插件只有 PHP，即没有 .css、没有 .js 并且也没有存储在其安装目录中的图像，那么 wpsec 应该无法检测到它。当然，同样的推理也适用于主题。
【讨论】：