写在 Wordpress 博客被黑之后

前段时间，博客接连被黑了几次，这对于我来说还是头一次遭遇。第一次被黑的时候，后台登陆不进去，查看数据库发现账号和密码被改了，以为是密码泄漏了，于是重置主机内容，更换账号密码，用备份数据重新上线；隔了一周，发现又登陆不上了，首页还被篡改了一部分内容，真是无语，简单处理了下又可以访问了；没想到过了几天，又被黑了，真是心累，放了好几天都懒得处理，后果就越来越严重了，主机被上传了新的目录和文件，接着网站链接也被用 .htaccess 改的指向别处了，看来不得不好好收拾一下了。

去 Google 上搜了一下，找到一篇不错的文章—— WordPress 终极安全指南，参考着把里面提到的绝大部分操作都实现了。

下面简单说下这次处理的几个地方：

一、自动更新

通过插件 Companion Auto Update 让 WordPress 核心、插件和主题的一直保持最新。

二、自动备份

这个之前就设置了，用的是 BackWPup 插件定期备份网站数据到 Dropbox，这次在文章中看到推荐的是 UpdraftPlus，后面可以对比试下哪个好用。

三、安全扫描

通过 WordFence 插件来搞定，功能还挺强大的，设置了隐藏 Wordpress 版本号、禁止上传文件夹执行代码，同时还限制了登陆尝试次数，防止暴力破解。

四、保护登陆入口

安装了 WPS Hide Login 插件，禁止对 /wp-admin 和 /wp-login.php 的访问，并把登录入口修改成自定义 URL。

五、修改数据库前缀

防止 SQL 注入，这次数据库被改，怀疑这个可能性极大，之前装 Wordpress 都喜欢用默认前缀 wp_ 的，看来后面得改下习惯。

六、关闭 XML-RPC

通过 Disable XML-RPC 插件，彻底关闭了 XML-RPC 功能。

七，启用 Https

之前怕麻烦，一直懒得升级，这次被迫弄了下，借助 Really Simple SSL 插件升级到了 Https，还算比较快的，就是要验证的细节比较多，后面把 Google Webmasters 中的相关信息也更新了下 。

重新部署之后到现在也有两三周了，通过 WordFence 后台发现了一些异常的访问，也屏蔽了一些 IP，但至少目前博客看起来还是安全的，没有被渗透的迹象。

上周的时候，Google 搜索了下博客名字，本来是想看下是否还有之前加上的垃圾链接时，发现居然有全站链接了，不清楚是不是改了 Https 之后带来的，算是个意外之喜。

个人博客虽小，安全也得注意，尤其对于 WordPress 这么流行的博客系统，安装后一定要检查是否做到了以下三点：自动更新、安全插件定期扫描和自动备份，做到了这三点，基本可保网站无虞。

查看原文：https://xuhehuan.com/2747.html