我这里使用的Kali Linux，它默认安装了WPScan。
在使用WPScan之前，先更新它的漏洞数据库：
# wpscan –update
扫描wordpress用户
wpscan -–url [wordpress网址] –-enumerate u
以我的网站为例：
# wpscan --url http://blog.topspeedsnail.com --enumerate u
注意：要用使用两个–，否则报错－“The WordPress URL supplied ‘http://rl/’ seems to be down.”
暴力破解：
wpscan --url [wordpress网址] --wordlist [字典文件] --username [要破解的用户] --threads [开启的线程数]
我已test用户为例：
# wpscan --url http://blog.topspeedsnail.com --wordlist ~/password.txt --username test --threads
好的密码字典应包含常见的弱密码、手机号、姓名生日组合、各大网站泄露的密码、英语单词等等。如果使用字典破解不了，说明密码还算复杂；暴力穷举更是费时费力。
怎么防止wordpress网站被人使用上面方法破解呢？
防止暴力破解的最好方式是限制一个IP地址的尝试登录次数。WordPress有n多插件可以实现这个功能。我使用的一个插件叫：Brute Force Login Protection。