網(wǎng)絡(luò)安全是一個(gè)永恒的熱門話題，今天比以往任何時(shí)候都更是如此。作為 WordPress 網(wǎng)站所有者，加強(qiáng)安全性并盡最大努力保護(hù)您的網(wǎng)站免受現(xiàn)在或?qū)砣魏涡问降墓舴浅Ｖ匾?/p>

WordPress本質(zhì)上是一個(gè)高度安全的平臺(tái)。安全團(tuán)隊(duì)由多位專家組成，他們?cè)诿看胃聲r(shí)努力處理安全問題。但是，沒有網(wǎng)站是完全安全的，這意味著您仍然容易遇到漏洞。在本文中，我們將考慮五種最常見的 WordPress 安全威脅以及如何使用最佳實(shí)踐來防止它們。我們走吧！

我們?nèi)绾芜x擇最常見的 WordPress 攻擊

出于本文的目的，我們的建議將基于開放 Web 應(yīng)用程序安全項(xiàng)目 (OWASP)排名。自 2001 年以來，OWASP 一直是促進(jìn)在線安全性和可信度的重要組成部分。他們是一個(gè)非盈利基金會(huì)，致力于提高互聯(lián)網(wǎng)上的軟件完整性。

該項(xiàng)目設(shè)定了全面數(shù)據(jù)收集的明確目標(biāo)，并通過利用 OWASP Azure云基礎(chǔ)設(shè)施收集、分析和存儲(chǔ)貢獻(xiàn)的數(shù)據(jù)來實(shí)現(xiàn)這一目標(biāo)。從本質(zhì)上講，志愿者可以通過電子郵件發(fā)送 CSV/Excel 文件或?qū)⑵渖蟼鞯截暙I(xiàn)文件夾來簡(jiǎn)單地貢獻(xiàn)數(shù)據(jù)。

OWASP 使用此數(shù)據(jù)收集和分析系統(tǒng)編制了一份網(wǎng)站經(jīng)常遇到的十大安全風(fēng)險(xiǎn)列表。該項(xiàng)目在全球擁有約 275 個(gè)地方分會(huì)，在幫助組織開發(fā)和維護(hù)可信賴的軟件應(yīng)用程序方面享有盛譽(yù)。

5 種最常見的 WordPress 攻擊（以及如何預(yù)防）

如果您的 WordPress 站點(diǎn)的安全性是重中之重，此列表將幫助您了解需要注意的攻擊以及如何預(yù)防它們。讓我們開始！

1. 注塑缺陷

您可能在 WordPress 網(wǎng)站上遇到的最突出的漏洞是代碼注入漏洞。當(dāng)您的站點(diǎn)允許用戶通過易受攻擊的入口點(diǎn)（例如聯(lián)系人或登錄表單）輸入數(shù)據(jù)時(shí)，您通常會(huì)遇到注入。

當(dāng)輸入的數(shù)據(jù)未經(jīng)“驗(yàn)證”時(shí)，您可能容易受到這種攻擊。SQL 注入是最常見的，但其他類型（例如 NoSQL、操作系統(tǒng)和 LDAP 注入）也可能是一個(gè)問題。

注入缺陷通常會(huì)導(dǎo)致訪問被拒絕、數(shù)據(jù)丟失和損壞、向未授權(quán)方泄露信息，甚至導(dǎo)致主機(jī)完全接管。防止注入的最佳方法是將命令與站點(diǎn)上的查詢分開。WordPress 開發(fā)人員可以使用某些 SQL 控件（例如LIMIT）來防止這種情況發(fā)生。網(wǎng)站所有者還可以利用安全插件（例如Malcare）來保護(hù)他們的網(wǎng)站。

2. 破損的認(rèn)證

當(dāng)身份和會(huì)話控制的實(shí)施存在漏洞時(shí)，就會(huì)發(fā)生身份驗(yàn)證失效。站點(diǎn)身份驗(yàn)證控制的強(qiáng)度高度依賴于會(huì)話管理。如果未正確實(shí)施，黑客可能會(huì)破壞您的密鑰、密碼和會(huì)話令牌。在大多數(shù)情況下，您最終可能會(huì)遭受身份盜用、社會(huì)保障欺詐和高度敏感信息的泄露。

如果您想將身份驗(yàn)證失敗的風(fēng)險(xiǎn)降至最低，您應(yīng)該在您的網(wǎng)站上實(shí)施多重身份驗(yàn)證。更重要的是，在創(chuàng)建新的 WordPress 站點(diǎn)時(shí)，尋找替換您提供的默認(rèn)憑據(jù)。弱密碼檢查也不應(yīng)成為一種選擇，尤其是對(duì)于管理員用戶。

3. 跨站腳本（XSS）攻擊

與注入攻擊非常相似，XSS 攻擊發(fā)生在站點(diǎn)的入口點(diǎn)——例如用戶輸入字段。當(dāng)自動(dòng)化應(yīng)用程序在您的站點(diǎn)上檢測(cè)到任何形式的 XSS 時(shí)，就會(huì)發(fā)生這些攻擊。可以利用它通過用戶輸入的數(shù)據(jù)將不受信任的數(shù)據(jù)潛入缺乏適當(dāng)驗(yàn)證的新頁(yè)面或現(xiàn)有頁(yè)面。

跨站點(diǎn)腳本讓攻擊者可以在受害者的瀏覽器中遠(yuǎn)程執(zhí)行代碼。這樣，他們就可以竊取他們的憑據(jù)或提供惡意軟件。您可以使用兩種策略來防止 XSS 攻擊。

第一個(gè)策略是確保從一個(gè)頁(yè)面生成的網(wǎng)絡(luò)請(qǐng)求不會(huì)訪問另一個(gè)頁(yè)面上的數(shù)據(jù)。同樣，您的網(wǎng)站必須能夠區(qū)分常規(guī)輸入和惡意代碼。React JS 等框架通過設(shè)計(jì)逃避了這種攻擊。通常，防止 XSS 攻擊始于良好的開發(fā)實(shí)踐。對(duì)于網(wǎng)站所有者來說，選擇一個(gè)強(qiáng)大、安全的主題至關(guān)重要。

4. 敏感數(shù)據(jù)暴露

敏感數(shù)據(jù)泄露可視為數(shù)據(jù)泄露。當(dāng)敏感數(shù)據(jù)在您的站點(diǎn)上傳輸或存儲(chǔ)時(shí)，您必須采取適當(dāng)?shù)拇胧┮源_保黑客無法對(duì)其進(jìn)行干預(yù)。否則，如果暴露，攻擊者可以竊取密碼、信用卡詳細(xì)信息、會(huì)話令牌等等。

除了將您自己的敏感數(shù)據(jù)置于危險(xiǎn)之中之外，您的網(wǎng)站訪問者也可能成為受害者。這就是為什么您必須盡最大努力確保您網(wǎng)站上的數(shù)據(jù)安全。

為了避免此類攻擊，切勿以純文本形式存儲(chǔ)數(shù)據(jù)或接受通過非 HTTPS 連接發(fā)送的數(shù)據(jù)，這一點(diǎn)很重要。對(duì)于站點(diǎn)所有者，合適的 SSL 證書可以幫助您加密跨網(wǎng)絡(luò)的最敏感數(shù)據(jù)。

5. XML 外部實(shí)體 (XXE)

這種類型的攻擊是由于舊的或管理不善的可擴(kuò)展標(biāo)記語(yǔ)言 (XML) 處理器引起的。這些評(píng)估對(duì) XML 文檔中的外部實(shí)體的引用。在此過程中，攻擊者可以利用配置不正確的 XML 解析器直接或通過 XML 上傳接受 XML。換句話說，他們現(xiàn)在可以訪問任何引用外部實(shí)體的 XML 輸入。

XXE 可用于執(zhí)行拒絕服務(wù) (DOS) 攻擊、提取您的數(shù)據(jù)，甚至還可以從您的服務(wù)器執(zhí)行遠(yuǎn)程請(qǐng)求。開發(fā)人員的專業(yè)知識(shí)在識(shí)別和處理 XML 外部實(shí)體方面大有幫助。

作為最終用戶，為了防止這種攻擊，您需要使您的核心 WordPress 安裝保持最新。XXE 問題通常在基礎(chǔ)代碼級(jí)別，并在核心軟件的版本更新期間進(jìn)行修補(bǔ)。

結(jié)論

雖然核心 WordPress 軟件不斷更新以減輕主要安全威脅，但插件和主題可能是用戶關(guān)注的主要來源 - 特別是如果它們編碼不當(dāng)。從本質(zhì)上講，您對(duì)站點(diǎn)安全的關(guān)注越多，處理這些問題的可能性就越小。