WordPress是目前最流行的内容管理系统之一,但同时也是攻击者的主要目标。以下是一些处理WordPress网站安全问题的建议:
更新WordPress、主题和插件至最新版本。这些更新通常包含安全性修复。
禁用不必要的插件和主题。插件和主题是WordPress的优势,但是安装过多的插件和主题,或者使用已经停止更新的插件和主题可能会导致网站安全问题。
使用强密码。WordPress登录是最受攻击的部位之一,使用容易猜测的密码将会很危险。
配置好安全组。限制出入口,只允许使用正确的端口,限制管理员授权的IP地址,如果需要可以使用防火墙,保护WordPress流量。
建立备份策略。备份是事故恢复的基础。合理建立备份策略,确保备份文件的存储安全。
检查服务器安全。检查WordPress网站存储的服务器安全,确保服务器的操作系统、数据库、FTP服务等都处于最新状态。
使用安全插件。使用插件增强WordPress安全性,例如安装Wordfence安全插件增强WordPress安全性,能够提供WAF功能,检测异常操作行为,封禁攻击者等。
以下是一些可能的解决方法:
更新WordPress:
Dashboard->Updates,选中WordPress后,点击更新
更新主题:
Dashboard->Appearance->Themes,选择主题,点击更新
更新插件:
Dashboard->Plugins,在每个插件下方都有更新链接,点击更新
禁用插件:
Dashboard->Plugins,选中插件下方有禁用链接,点击禁用
禁用主题:
Dashboard->Appearance->Themes->Activate the Theme(激活另外一个主题)->选中主题下方有删除链接,点击删除
建议使用随机组合的字母、数字、符号来组成密码,密码长度建议大于8个字符。
配置网络安全组前需要先了解提供商的网络安全组的限制与规则。根据需要设置。
例如,限制入口,只允许使用正确的端口:
1)打开云服务器控制台,找到要配置的安全组;
2)在安全组中,选择入方向用户名单,在 “源地址” 栏中,选择“自定义” 选项,输入允许访问的IP地址,点击确定;
3)在 "协议类型" 中,选择合适的协议后,添加合适的端口。
更多关于配置细节请参考提供商页面。
建议在备份前关闭网站,所有文件和数据库及其备份也应该放在离服务器比较远的位置,例如本地电脑或云存储等等。
使用插件备份:
Dashboard->Plugins->Add New,输入需求,并下载BACKUP WordPress插件备份。
使用SSH备份:
1)打开云服务器控制台,登陆到服务器;
2)检查云服务器上是否安装了tar文件,如果没有安装,可以使用以下命令安装(具体根据每个操作系统指令变更):
yum install -y tar
3)执行备份命令。例如:
tar czvpf wwwbackup.tar.gz /var/www/html/
4)生成备份文件。
在这个例子中,对于备份文件进行了gzip压缩,文件名为wwwbackup.tar.gz;压缩前备份文件名为/var/www/html/。
行检查:
Admin->Tools->Site Health->Severe issues显示开启在WordPress尝试运作时是否出现了错误。
FTP检查:
是否使用SFTP代替FTP协议访问服务器?
数据库检查:
WordPress是否使用最新版本的关系型数据库?
操作系统检查:
完全按照操作系统提供商安装、配置操作系统。
更多详细内容,请参考Linux Foundation基本安全性文章。
Wordfence是相当受欢迎的安全插件之一,值得推荐:
Dashboard->Plugins->Add New,输入Wordfence Security Plugin,安装插件,跟随指导完成配置即可。