针对SEO和开发人员的WordPress安全计划

如何保护您的WordPress网站免受攻击并保证其安全。

如今,WordPress 全球使用它搭建网站的人有1/3。从很早以前,WordPress它一直是我们网站搭建的好帮手。但是,它如果受到了黑客攻击,这会是比较头疼的问题。

以下是一些WordPress基础知识以及确保您的WordPress网站保持安全的方法。

WordPress安全吗?

新版本的WordPress简单易操作。然而,忽视更新它可能会使其不安全。WordPress本身警告说,漏洞“源于平台的可扩展部分,特别是插件和主题”。

WordPress更新

没有安全系统这样的东西。WordPress需要安全更新才能安全运行,这些更新不会对您产生负面影响。打开自动安全更新。但是,更新WordPress核心确实需要确保所有内容都兼容。只要兼容版本可用,请立即更新插件和主题。

开源

WordPress是开源的,既有风险也有好处。该项目受益于为核心提供代码的开发人员社区,核心团队修补了社区发现的安全漏洞,如果不更新黑客则会通过发现漏洞内容攻入您的网站。

保护自己

即使您没有管理员角色,也可以采取一些措施来保护自己。确保您网站放在安全的网站环境,好该平台能提供定期检测的服务。阻止广告以防止伪装后的复杂攻击。当您在公共WiFi热点工作时,使用VPN进行端到端加密,以防止会话劫持和MITM攻击。

安全密码

无论您拥有什么样的角色,安全地管理密码都很重要。确保您的密码是且足够长的。当密码不够长时,即使是标点符号,数字和字母的组合也不够安全。你需要长密码。如果您需要记忆,请使用串在一起的四个或五个单词的短语,但好使用为您生成密码的密码管理器。

密码长度

为什么长度如此重要?换句话说,使用名为HashCat的免费开源实用程序,八个字符的密码在不到2.5小时内破解。无论你的密码是多么难以理解,破解短密码只需要几个小时。从13个字符开始,破解开始变得异常困难,至少目前如此。

管理员

如果您具有管理员用户角色,请为自己创建一个仅限于编辑角色的新用户。开始使用新配置文件而不是管理员。这样,广域网攻击将集中于攻击您的编辑器角色凭据,如果您的会话被劫持,您就拥有管理员权限来更改密码并从入侵者手中夺取控制权。通过使用插件强制每个人遵循强密码策略。

安全政策

如果您有安全经验,请执行插件和主题的代码审核(显然)。为所有用户建立小特权原则。然后你强迫黑客执行shell弹出技巧和权限升级,这涉及攻击除WordPress凭据之外的目标。

更改文件权限

如果您控制主机,请通过使用控制面板为自己提供SFTP帐户(如果有),或者尝试使用您可以访问的管理员用户界面。它可能具有配置凭据以打开安全shell终端窗口(SSH)的作用。这样,您可以使用系统实用程序等执行其他安全措施。

锁定关键文件

除了运行WordPress的PHP进程之外,有一些文件永远不应该被访问。您可以更改文件权限并编辑.htaccess文件以进一步锁定这些文件。要更改文件权限,请使用SFTP客户端(如果有选项),或打开终端shell窗口并运行chmod utility命令。

$ chmod 400 .wp-config
$ ls -la


WordPress配置文件安全

这意味着只有运行WordPress的PHP进程才能读取该文件,而没有别的。该文件永远不应该设置“执行位”,就像使用chmod 700一样。你应该总是在第二和第三位有零 – 这就是真正锁定它的原因。使用-la选项验证运行ls实用程序的更改并查看。

拥有严格的文件权限设置意味着即使是通过WordPress,也无法将任何内容写入文件。$ chmod 600 .wp-config当有一个主要的WordPress更新,其中配置文件有修改时,您将要授予写权限。如果有的话,那应该极少发生。

WordPress登录文件

我喜欢使用.htaccess规则锁定wp-login.php文件。我有一个静态的IP地址,每次只能在我IP的网络环境才能够登陆网站后台!如果您从其他位置登录,只要您可以在主机上获取shell,就不难更改设置。只需注释掉deny指令,使用浏览器登录,然后取消注释即可。

WordPress Htaccess限制由IP

XSS和SQL注入

到目前为止,您将遇到的可怕的攻击是跨站点脚本(XSS)和SQL注入。您可以使用.htaccess查询字符串重写规则来阻止其中的一些,并且好使用可以为您管理此的插件。一些安全插件将扫描您的安装,寻找妥协的迹象。如果您知道如何使用重写,请重定向或阻止查询字符串签名,以查找您在日志中阅读或查看的攻击。

安全插件

一些安全插件将扫描您的安装,寻找妥协的迹象。Wordfense是一个流行的安全插件,它会定期更新。Sucuri Scanner有一个付费选项,可以扫描您的安装。Ninja防火墙将尝试限制基于请求的攻击,在它们到达WordPress核心之前阻止它们。您还可以使用Google的新Web Risk API编写应用程序来扫描您网站的页面。

滚动至顶部
扫描微信二维码联系我们 关闭