WordPress是一个免费的、开源的、高度流行的内容管理系统（CMS）。不幸的是，它也是被黑客攻击最多的CMS。Wordfence 2020年WordPress威胁报告是这一事实的见证人，该报告称每秒有超过2800次对WordPress的攻击。
现在，有一个问题一定会在你的脑海中出现 - "WordPress是安全的吗？嗯，这个问题的答案是肯定的。WordPress是一个安全的CMS，但这一切都取决于你。如果你遵守WordPress的安全程序，它就是一个安全的平台。
如果用户不遵守其安全措施，WordPress的威胁和漏洞是不可避免的。如果你的WordPress网站没有得到适当的安全保护，恶意的黑客可以找到伤害你的WordPress网站的方法。WordPress网站被黑的最常见原因之一是其旧的或不安全的版本。如果你的网站运行在旧版本的WordPress上，它更有可能被黑。
此外，WordPress插件、主题和WordPress核心也会造成安全威胁和漏洞。iTheme的WordPress漏洞年度报告在2021年披露了1628个安全漏洞，其中。
- 97.1%来自于WordPress插件
- 0.05%来自于核心WordPress
- 2.4%来自于WordPress主题
网络攻击对你的网站以及企业的声誉产生不利影响，特别是如果它损害了访问者的数据。在这些威胁对你的网站产生不利影响的同时，有必要识别威胁并采取相应措施。
通过这篇博文，我们旨在让你熟悉10个最常见的WordPress安全威胁，以及你可以采取哪些步骤来克服它们。
所以，让我们开始吧
你应该知道的10个常见的WordPress安全威胁
以下是一些典型的WordPress安全威胁，它们会对你的网站和访问者产生不利影响。
1.野蛮的强行登录
强行登录是许多WordPress网站面临的最常见的威胁之一。这是一种试错法，黑客通过尝试所有可能的组合来猜测你的WordPress账户的用户名和密码。
基本上，黑客使用一个机器人来快速运行数十亿个用户名和密码的组合。最终，他们会找到正确的登录凭证，并可以访问你网站的敏感数据。
暴力登录攻击的主要原因是，找到任何WordPress网站的默认后端登录页面是很容易的。黑客从WordPress网站的主URL上，附加上这些字符串--/wp-admin或/wp-login.php。通过这种方式，他们可以获得对登录页面的访问。
此外，另一个主要原因是默认的登录页面。定制WordPress网站的默认登录页面是很重要的。一般来说，黑客会将默认的用户名 "admin "与一个普通的密码配对，并获得对你的WordPress账户的访问。
如何预防？
防止暴力攻击的最有效方法是选择一个强大的密码，让黑客难以发现。你可以利用密码生成器来达到这个目的。
此外，你可以启用双因素认证（2FA），这又增加了一层保护登录过程。最后，你可以限制登录尝试，并添加一个验证码，以避免WordPress网站上的暴力攻击。
2.跨站脚本（XSS）
跨站脚本或XSS攻击发生在黑客向目标网站注入恶意的JavaScript代码时。当访问者访问该网站时，他们的浏览器会执行这个恶意的JavaScript代码。访问者认为这段代码是来自一个可信任的来源，即目标网站，但实际上不是。
这样一来，黑客就更容易访问访问者的数据并接管他们在目标网站上的账户。此外，他们还可以冒充访问者，因为他们可以访问他们的所有数据。
对于交叉脚本攻击，WordPress的插件和主题是负责的。如果你的网站有过时的、不安全的插件和主题，黑客就会利用它们，访问你网站的前端文件，注入恶意的JavaScript代码。
如何预防？
防止跨站脚本攻击的首要方法是始终保持你的WordPress插件和主题的更新。同时，确保WordPress核心运行在其最新版本上。最后，当你在你的网站上使用任何第三方软件时，你必须非常小心。
3.SQL注入
SQL注入或SQLi是最常见的WordPress安全威胁之一。WordPress使用MySQL数据库管理系统，而SQL是一种查询语言，用于访问和操作存储在MySQL数据库中的数据。因此，WordPress使用SQL进行数据库管理。
在SQL注入攻击中，黑客向网站注入恶意的SQL语句，这使得他们能够未经授权地访问网站的数据库和存储在其中的数据。他们可以对这些数据做任何事情，如插入其他数据，删除现有数据，操纵数据，甚至向外界泄露数据。
一般来说，黑客通过用户提交的表格进行这种攻击，如联系表格、支付信息栏或线索表格。他们填写这种表格不是为了任何真正的原因，而是为了将恶意的SQL语句注入你的网站数据库。
如何预防？
你通过在你的网站上提交任何表格，都会招致这种类型的攻击。因此，你有必要在表单提交过程中增加安全性。你可以通过添加验证码作为提交表单的最后一步来实现，这将防止机器人提交表单。
此外，不允许在提交表格的字段中出现任何特殊符号。最后，你也可以考虑使用WordPress安全插件。
4.恶意软件
恶意软件是任何故意设计的软件，以获得未经授权的访问，并对任何计算机系统或计算机网络造成破坏，并泄漏敏感信息。简而言之，恶意软件是一种破坏目标计算机系统的软件。
就WordPress网站而言，恶意软件是一种利用网站的弱点在其上进行恶意活动的软件。一般来说，黑客将恶意软件文件放入WordPress网站的合法文件中，或在现有文件中插入恶意代码，以窃取网站及其访问者的数据。
恶意软件影响你的网站的原因是使用了过时的WordPress主题和插件。一般来说，黑客会利用过时的插件和主题，将恶意文件或代码放入你的网站的现有文件中。
如何预防？
你应该采取的首要步骤是使用最新版本的WordPress主题和插件。其次，你必须定期进行WordPress安全扫描，以识别你的WordPress网站上的潜在恶意软件。最后，你可以安装WordPress安全插件，使你的网站免受攻击。
5.网络钓鱼
网络钓鱼是大多数网站遭受的另一种WordPress威胁。在这种类型的攻击中，黑客骗取个人的个人或敏感信息，如登录凭证，甚至信用卡细节。
就WordPress网站而言，攻击者可以通过管理权限进入网站，并可以在网站上发布垃圾链接，这样当访问者点击它时，他们的敏感信息就会被泄露。
WordPress网站容易受到网络钓鱼攻击的原因又是过时的WordPress主题和插件，弱密码，以及提交表单缺乏安全检查。
如何预防？
为了防止网络钓鱼攻击，你必须使用最新的WordPress插件和主题。另外，你需要使用强密码，这样攻击者就不能获得你网站的管理权限，因此，他们就不能在你的网站上发布任何垃圾链接。
6.热链接
热链接是另一种常见的WordPress安全威胁。基本上，它是一种涉及将文件或图像链接到托管它的网站的行为。图像是最常见的热链数字资产。然而，音频文件、动画、电影等也可以被热链接。
当其他网站在不下载图片、音频文件或视频的情况下进行热链时，他们是在用你的钱来维持热链媒体在其网站上的运行。
热链接不是直接的垃圾邮件，因为热链接的人不是黑客。然而，它被认为是不良的互联网活动。当你限制你的网站内容时，热链是非法的。
如何预防？
避免热链接的最好方法之一是在你的图片、视频或其他数字内容上添加水印。尽管添加水印并不能阻止所有的恶意黑客，但它会要求他们执行一个额外的步骤来删除该水印。
7.拒绝服务（DoS）攻击
拒绝服务（DoS）是最糟糕的WordPress安全威胁之一，它使一个网站的管理员和所有访客都无法访问。黑客通过向一个目标服务器发送大量的流量来实施这种攻击，使该服务器上的所有网站都瘫痪。
虽然服务器和它所承载的所有网站可以从DoS攻击中恢复过来，但重建网站的声誉变得相当具有挑战性。此外，处理这种类型的攻击需要花费大量资金和时间。
此外，许多黑客从多个系统同时对一个目标进行DoS攻击，这被称为分布式拒绝服务或DDoS攻击。
DoS和DDoS攻击的目标都是安全性有限的托管服务器。
如何预防？
防止拒绝服务（DoS）攻击的最有效方法是选择安全的WordPress主机。确保为你的WordPress网站找到一个可靠和安全的主机供应商。
8.跨站请求伪造(CSRF)
跨站请求伪造（CSRF）是一种攻击类型，迫使用户在网站上执行不需要的操作。一般来说，黑客通过电子邮件或聊天发送一个链接，欺骗网站用户在网站上执行黑客选择的行动。
例如，黑客可能会强迫网站用户更改他们的密码和电子邮件地址，转移资金，或执行任何其他行动。如果用户是网站的管理员，黑客可以控制整个网站。
有一些WordPress插件更容易受到跨站请求伪造（CSRF）攻击。尤其是包含check_url()函数的插件，更容易受到跨站请求伪造攻击。
如何预防？
避免CSRF攻击的最好方法是密切关注你的WordPress插件所使用的插件。另一个方法是安装一个WordPress安全插件，它将使你的网站免受CSRF攻击和许多其他类型的攻击。此外，为了防止这种类型的攻击，你可以通过启用双因素认证来加强你的网站的安全性。
9.搜索引擎优化（SEO）垃圾邮件
搜索引擎优化（SEO）垃圾邮件注入攻击与SQL注入攻击类似，但这里针对的是网站的SEO，网站所有者最重视的是获得有机流量。在这种类型的攻击中，黑客利用目标网站的排名靠前的页面，在其中插入垃圾关键词和广告。
同样，这种类型的攻击的罪魁祸首是过时的WordPress核心、插件和主题。此外，未定义的用户角色也会使你的网站更容易受到SEO垃圾邮件的影响。
与上面提到的所有WordPress安全威胁相比，SEO垃圾信息是非常危险的，因为它很难被发现。虽然黑客进入你的网站，但他们不会采取任何行动，因为这可能会导致立即被怀疑。他们只是用恶意的关键词操纵你网站的高排名页面，这样你就很难在全站审查中发现。
如何预防？
你能做的最好的事情是保持你的WordPress网站更新，即核心、插件和主题。你也可以使用一个WordPress安全插件，它可以运行扫描来检测恶意软件。
此外，如果你想自己识别这种类型的攻击，请密切关注你的分析数据，并记录SERP位置的变化。
10.未定义的用户角色
任何WordPress网站都有六个不同的用户角色，其中每个角色都有特定的权限，允许或限制用户在网站上采取行动。默认的用户角色是管理员，他对网站的控制比所有其他用户角色都要多。
当你有多个用户，而他们没有分配任何用户角色，即所有的用户都是管理员时，问题就出现了。因此，黑客进行暴力登录，可以通过任何一个用户的登录，以管理员的身份进入你的网站。
因此，如果你的网站的用户角色定义不明确，成功的暴力登录攻击将允许黑客在你的网站上执行所有管理员有权做的动作。此外，黑客还可以进行跨站脚本攻击，目的是通过在你的网站上插入恶意代码来收集访问者的个人信息。
如何预防？
确保为你的网站的每个用户分配不同的角色，并给予特定的权限。如果你是网站的管理员，你必须遵循安全措施，如启用双因素认证和使用强密码。
总结
WordPress的安全威胁通常是由于用户没有认真对待安全措施而产生的，因此最终成为各种安全攻击的受害者。这些威胁影响了网站的数据和声誉。此外，在某些情况下，如XSS攻击，甚至访问者的个人信息也被泄露。因此，采取安全措施对于防止此类可怕的攻击变得至关重要。
我们希望这篇文章能够帮助你扩大你对不同类型的WordPress安全威胁的认识，以及预防它们的方法。
常问问题
1.WordPress是安全的吗？
只要你认真对待网站安全并遵循最佳做法，WordPress就是安全的。一些确保网站安全的最佳做法包括使用更新的WordPress主题和插件，定义用户角色，启用双因素认证（2FA），并保持WordPress的更新。
2.如何保护网站免受暴力攻击？
为了保护你的网站免受暴力攻击，你需要遵守以下安全措施。
- 使用强密码。
- 限制登录尝试。
- 启用双因素认证。
3.WordPress是否容易受到SQL注入攻击？
是的，WordPress很容易受到SQL注入攻击。为了防止这种攻击，你必须在表单提交过程中增加一个安全级别，比如增加一个验证码，这样黑客就无法使用机器人。另外，你可以考虑使用WordPress安全插件。
