先看攻击者会先试什么
一个没加固的 WordPress 站，通常在被搜索引擎收录后几小时内就会收到第一波扫描。它们不挑站，按清单挨个试：
/xmlrpc.php：批量猜密码的经典入口，还能被拿来做 pingback 放大；/wp-json/wp/v2/users和?author=1：直接枚举出管理员用户名；/readme.html、页面里的 generator 标签：泄露版本号，方便对号入座找漏洞；- 插件目录里的旧版本文件、备份文件（
wp-config.php.bak）； - 弱口令登录，尤其是
admin这个用户名。
加固的思路不是把每一项都堵死，而是提高尝试成本、缩短被发现的时间。
账户层：最容易被忽略的一层
用户名不要用 admin，管理员账号单独一个，日常写作使用编辑或作者角色。密码长度优先于复杂度，十六位以上的随机串比「Abc123!@#」更难猜。
两步验证要开。WordPress 本身没有，靠插件实现；选活跃维护、支持 TOTP 的即可。开了之后，即使密码泄露，攻击者也进不来。
登录限速也值得做：同一 IP 连续失败若干次就锁定一段时间。它挡不住分布式撞库，但能挡住绝大多数脚本。
文件与配置
wp-config.php权限收到 600，目录 755、文件 644；- 在配置里加
define('DISALLOW_FILE_EDIT', true);，关掉后台的代码编辑器——它一旦被拿下，等于直接拿到 shell； - 关掉目录列表，删掉没用的
readme.html和默认主题； - 如果不用 XML-RPC，直接在 Web 服务器层拒掉
xmlrpc.php，比装插件更彻底。
插件与主题：供应链才是主战场
WordPress 核心现在很少出远程执行漏洞，绝大多数入侵来自过时的插件和主题。原则只有一条：只装真正需要的，停用即删除。停用但不删的插件，文件还在，漏洞还在。
更新节奏上，安全更新应当天跟进；大版本更新先在测试站验证。订阅一两个漏洞情报源，比自己每周手动翻插件列表可靠。
备份与恢复：最后的底线
备份要包含两部分：数据库和 wp-content 目录。只备份数据库，恢复时图片和插件全丢；只备份文件，文章全丢。
更重要的是演练恢复。没恢复过的备份只能叫「副本」。至少每季度在测试环境完整走一遍：解压、导入数据库、改站点地址、验证前后台。
监控：知道发生了什么
三件事值得监控：文件完整性（核心文件被改要立刻知道）、登录失败次数、以及站点可用性。前两项能发现正在进行的入侵，第三项能发现入侵的结果。
我的判断
WordPress 加固没有「做完」的一天，只有「比昨天更难打」。真正决定损失大小的往往不是防线，而是恢复速度——有没有一份能用的备份，决定了你是丢一天内容还是丢整个站。
所以如果只能做三件事：开两步验证、删掉不用的插件、把备份恢复到另一个地方。
延伸阅读
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
暂无评论内容