我這里使用的Kali Linux，它默認安裝了WPScan。
在使用WPScan之前，先更新它的漏洞數據庫：
# wpscan –update
掃描wordpress用戶
wpscan -–url [wordpress網址] –-enumerate u
以我的網站為例：
# wpscan --url http://blog.topspeedsnail.com --enumerate u
注意：要用使用兩個–，否則報錯－“The WordPress URL supplied ‘http://rl/’ seems to be down.”
暴力破解：
wpscan --url [wordpress網址] --wordlist [字典文件] --username [要破解的用戶] --threads [開啟的線程數]
我已test用戶為例：
# wpscan --url http://blog.topspeedsnail.com --wordlist ~/password.txt --username test --threads
好的密碼字典應包含常見的弱密碼、手機號、姓名生日組合、各大網站泄露的密碼、英語單詞等等。如果使用字典破解不了，說明密碼還算復雜；暴力窮舉更是費時費力。
怎么防止wordpress網站被人使用上面方法破解呢？
防止暴力破解的最好方式是限制一個IP地址的嘗試登錄次數。WordPress有n多插件可以實現這個功能。我使用的一個插件叫：Brute Force Login Protection。