说说wordpress博客的安全防御

用一首诗开始个人博文：

那时咱们有梦，关于文学，关于爱情，关于穿越世界的旅行。现在咱们深夜饮酒，杯子碰到一块儿，都是梦破碎的声音。

——北岛

也许咱们没法明白“活着”的意义，可是咱们已经为“活着”付出了太多代价；也许咱们没法实现本身的梦想，可是咱们已经为梦想流下了太多泪水。咱们能作的，仅仅是在这条路上走得更远，毫不能回头。天堂未必在前方，但地狱必定在身后。

—— 程浩

WordPress简介

WordPress起初是一款我的博客系统，并逐步演化成一款内容管理系统软件，它是使用PHP语言和MySQL数据库开发的，用户能够在支持 PHP 和 MySQL数据库的服务器上使用本身的 Blog

——来自百度百科

---

本博客就是用wordpress搭建的，搭建好之后作了一些防御工做，因此把这点经验分享给你们

1.选择安全可靠的主机

---

谨慎选择一款安全可靠的主机，不要使用免费主机和劣质主机。免费主机只适合用来学习程序和建站方法，可是倡萌一直不建议使用免费主机来托管正式上线的网站。固然了，最好也不要使用那些特别廉价，管理经验不足的主机商的服务。

2.升级到WordPress最新版

---

只从WordPress官方下载源码，不要到第三方网站下载。尽量升级到WordPress最新版，及时修补程序漏洞，包括WordPress核心源码、WordPress主题以及WordPress插件。

3.使用官方WordPress主题和插件

---

这里所说的官方，一是WordPress官方，二是主题或插件开发者的官方，尽可能避免使用“破解”版主题、插件，慎用网上传播的本来是收费，可是被人恶意提供免费下载的主题、插件。

4.修改数据库默认前缀 wp_

---

不少朋友安装WordPress都没有修改数据库前缀，若是你打算修改默认的前缀 wp_ ，请根据 如何修改 WordPress 数据库前缀 来修改。

5.修改默认的用户名 admin

---

WordPress 3.* 以上已经支持安装时自定义登陆用户名，若是你使用默认的admin，建议你根据下面的方法进行修改：

方法一：后台新建一个用户，角色为管理员，而后使用新用户登陆，删除默认的 admin 用户。方法二：登陆phpmyAdmin，浏览当前数据库的 wp_users 数据表，将 user_login 和 user_nicename 修改成新用户名。

同时建议修改 “个人我的资料”中的的昵称，而后设置“公开显示为”非用户名的其余方式：

6.使用高级密码，常常更换密码

---

建议使用含 大写字母、小写字母、数字和其余符号 的复杂密码，好比 nuH4j&*aHG%dMz ，避免使用生日、手机号、QQ号等。

7.隐藏WordPress版本信息

---

默认状况下会在头部输出WordPress版本信息，你能够在主题的 functions.php 最后一个 ?> 前面添加：

//隐藏版本号function wpbeginner_remove_version() {return '';}add_filter('the_generator','wpbeginner_remove_version');

8.修改wp-admin目录的访问权限

---

你能够经过限定IP地址访问WordPress管理员文件夹来进行保护，全部其余IP地址访问都返回禁止访问的信息。另外，你须要放一个新的.htaccess文件到wp-admin目录下，防止根目录下的.htaccess文件被替换。

9.按期备份网站数据

能够借助WordPress备份插件进行自动备份或手动备份：

WordPress数据库定时备份插件：WordPress Database Backup
使用WordPress自带导出导入功能备份和恢复网站
WordPress克隆/备份/搬家插件：WP Clone
WordPress超强备份插件：BackWPup（支持FTP/Email/本地/网盘）

10.安装安全插件

---

WordPress Firewall 2

该插件能够帮助你识别/阻止一些有效的***，例如 目录扫描、SQL注入、WP文件扫描、PHP EXE扫描 等，并可将其定向到404或者首页。若是有问题还能够经过电子邮件通知你处理，还能够阻止一些IP的访问。

Better WP Security

因为大多数的WP网站存在插件漏洞、弱口令、过期的插件/程序，隐藏这些漏洞能够更好的保护网站，例如保护登陆和管理区(控制面板？仪表盘？)。

Login Lockdown

这个插件能够记录失败的登陆尝试的IP地址和时间，如果来自某一个IP地址的这种失败登陆超过必定条件，那么系统将禁止这一IP地址继续尝试登陆。

Limit Login Attempts

Limit Login Attempts 限制登陆尝试的次数来防止暴力破解，加强 WordPress 的安全系数。

WP Security Scan

该插件会自动按照以上的安全建议对WordPress进行安全扫描，查找存在的问题。

11.修改WordPress后台登陆地址，提升安全性

---

将下面的代码添加到当前主题的 functions.php 文件：

//保护后台登陆add_action('login_enqueue_scripts','login_protection');function login_protection(){  if($_GET['word'] !='press')header('Location: http://www.malayke.org/');}

这样一来，后台登陆的惟一地址就是 http://yoursite/wp-login.php?word=press，若是不是这个地址，就会自动跳转到 http://www.malayke.org/ ，不信你试试！

你能够修改第 4 行的 Word、press 和 http://www.malayke.org/ 这三个参数。

12.避免WordPress泄露你的用户名

---

你有没有想过，若是你的网站的登录名被别人知道了，恰恰他是一个比较精通 WordPress 的人，并且会写脚本暴力破解，那么后果就不堪设想。

实际上，Wordpress 这么一个漏洞，至今依然存在，而且经常会被***利用
想要知道 WordPress 的管理员用户名？很简单，只要在网站的域名后面加 /?author=1 就好了。
若是 /?author=1 显示404界面，那极可能是之前有过 admin 用户，后来站长发现用默认账户 admin 太不安全了，就新建了一个管理员账户，并删除了 admin 账户。这种状况下，用 /?author=2 就能显示出用户名了。

若是使用 admin 账户，确实不安全，可是若是你的博客使用一个复杂的用户名，却经不起这么简单的一个 URL 的考验，这和使用 admin 账户没有根本上的区别。

既然存在漏洞，那么就要去填补它。要填补这个漏洞，倒还真的不是什么难事。

个人思路就是，只要访问主页url后头有author参数就让他跳到主页
将下面的代码添加到当前主题的 functions.php 文件：

add_filter('author_link','my_author_link' );function my_author_link() {return home_url('/' );}

呵呵，你们有没有发现这个思路上面修改WordPress后台登陆地址是同样的原理
至此，有了以上的防御工做，你辛辛苦苦搭建的wp博客就不会没那么容易的被黑阔光顾

转载自：FreeBuf