wordpress被攻击之后的一些总结

最新推荐文章于 2024-07-28 02:26:38 发布

卓立~

最新推荐文章于 2024-07-28 02:26:38 发布

阅读量2.6k

点赞数 3

分类专栏：随笔文章标签： wordpress 攻击安全

本文链接：https://blog.csdn.net/weixin_41835612/article/details/99532076

版权

随笔专栏收录该内容

2 篇文章 0 订阅

订阅专栏

今天早晨在在公司打开电脑，吃着早饭，翻着自己之前写的一篇文章，回到主页时发现，出现了很多英文的发布（乱七八糟的内容），第一反应就是被攻击了，赶紧到仪表盘去看一下，发现这时候站点所有的url都已经无法访问了。

我的这个个人站点是部署在一个虚拟主机上的，所以我赶紧去运营商的控制台检查一下。到了我也很茫然，因为我对php一无所知。好在控制台看到了phpMyAdmin，之前都没注意到这个东西的存在==。通过phpMyAdmin连上了站点的后台数据库，发现只是多了一些数据，原来发布的一些文章还在，当时舒了一口气（毕竟接近一年的功夫都在里面）。随后第一时间将ftp密码，数据库密码等相关密码更改了。然后了解了一些wordpress的简单机制，搞清楚服务器上个目录的作用之后，做恢复工作。之前都是使用运营商给提供的工具安装的，对wordpress的结构一无所知，也给这次的恢复工作提升了一些难度==。

这是一个典型的wordpress站点的目录结构，其中最重要的就是wwwroot目录下的wp-config.php文件，这是wordpress配置的地方（数据库连接配置等），这是一个非常重要的文件，之后恢复的时候要用到。

其次就是wp-content目录，这是wordpress存储主题，插件，上传文件的地方，之后恢复时也要用到，建议保留wp-content 目录下的themes、uploads、plugins文件夹，之后将这些文件夹上传到新安装的wordpress。这里uploads要保留，不然之前博客中引用的一些文件就找不到了，其他的想插件、主题可以重新在wordpress仪表盘安装。同时注意检查一下uploads里面是不是有.php文件，一般这个文件夹下是不会出现.php文件的，如果有，请注意删除。

之后就是恢复工作，我是直接通过运营商提供的工具，将主机清空，然后重新安装的，这里也可以手动下载wordpress包，通过ftp将新的wordpress文件上传的服务器（一定要将原来的主机清空，不然有可能一些恶意代码仍会影响你站点的安全性）。安装结束之后，就是把上述的wp-config.php和wp-content文件夹下的文件替换掉。

之后访问站点，就可以正常访问了，总结下来，这次出现问题，还是自己的安全意识不够，没有主动去做一些防护工作。之前其实站点一直受垃圾评论困扰，我一直忽略了，给这次攻击埋下了祸根。然后我了解了一些wordpress的安全策略，给站点做了一些防护，主要如下：

安装自动更新插件Companion Auto Update，实现无人值守的WordPress核心，插件和主题自动更新，避免因为一些插件漏洞导致站点被攻击。
自动备份，这次没造成特别大的损失是数据库还在，能恢复过来，也让我意识到数据备份的重要性。安装自动备份插件 UpdraftPlus，实现wordpress文件和数据库文件自动备份。教程参考：WordPress备份还原插件UpdraftPlus。
过滤垃圾评论，很多垃圾评论的目的并非打广告这么简单，而是把评论内容写得像广告，实际嵌入了恶意代码进行XSS攻击，这样的评论如果流入正常用户的浏览器，就有可能带来危害，如果是权限较高的用户，网站就可能被渗透。可以安装Akismet插件，实现垃圾评论过滤，让你不再忍受垃圾评论困扰。教程参考：最好用的wordpress防垃圾留言插件Akismet。
降低插件使用风险，非官方的插件危险系数高，不可随便下载安装，先确认插件源可信。
用安全性更高的管理员帐号，不要使用admin账户，密码类似于password、123456之类的弱密码。
替换默认登录入口，wordpress默认登录地址为 /wp-admin 和 /wp-login.php，网上大量黑客程序以它们为渗透目标，所以安全的做法是将这两个地址给隐藏掉。了解到有一个插件WPS Hide Login，但是不知道是我使用姿势不对，还是跟我的版本不兼容，用了之后，发现仪表盘无法正常访问了。升级了主题插件之后，发现正常了。
强制用户使用https协议，我这个因为服务商对于虚拟主机不支持SSL，所以没法配置，如果可以的话，还是可以启用一下，很简单。
避免使用默认数据库前缀，WordPress安装时，默认数据库表前缀是wp_，这就为sql注入提供了便捷。做了个实验，如果在已经是wp_打头的前提下，通过改表名 + wp-config.php文件的方式，会导致仪表盘无法访问，原因不明，懂php的同学可以研究一下。
关闭文件编辑，WordPress默认允许管理员帐号修改主题或插件源文件，一旦管理员帐号被渗透，理论上黑客可以通过这个功能修改这些文件，执行任何他想执行的代码，比如注入木马，留后门。可以在wp-config.php中加入如下一行代码关闭：

define('DISALLOW_FILE_EDIT', true);

关闭php文件直接访问权限，一旦黑客发现某个php源文件有漏洞，就可以通过直接访问之反复尝试渗透，尤其是上传文件夹这样的敏感位置（/uploads）。在.htaccess文件里添加针对敏感目录的规则，禁止直接访问.php文件：

Order Allow, Deny
Deny from all

关闭XML-RPC，XML-RPC是WordPress向外暴露的调用，Pingback和Trackback功能依赖这组调用，但会被黑客程序拿来来做蛮力攻击或者DDos。安装Disable XML-RPC插件，可彻底关闭XML-RPC。普通网站Pingback和Trackback功能意义不大，所以关掉XML-RPC也没有关系，除非你确定它需要打开。