如果您经常关注 WordPress 新闻简报或网络安全更新，您可能已经注意到一个熟悉的模式：几乎每周都有一份关于 WordPress 插件漏洞的新报告。为什么这种情况如此频繁？
出现这些漏洞的一个原因是，WordPress 生态系统中的插件开发非常庞大，涉及许多与 WordPress 本身没有直接关联的开发人员。虽然 WordPress 提供了明确的指导方针来确保安全性，但生态系统的规模和复杂性（成千上万的插件和主题协同工作）有时会让人难以捕捉到每一个潜在的漏洞。
此外，开发人员有时会急于发布更新或新功能，即使是善意的程序员也可能无意中忽略了安全问题，让黑客有机可乘。
一旦发现漏洞，黑客就可以利用各种技术漏洞来入侵你的网站。常见的方法包括跨站脚本 (XSS)、SQL 注入和跨站请求伪造 (CSRF)。这些漏洞利用允许黑客执行一系列恶意活动，例如
-
- 将访问者重定向到恶意网站。
这些攻击会削弱您网站的性能，降低您的搜索引擎优化排名，最重要的是，会损害您的业务、收入和声誉。
不过，值得注意的是，插件漏洞本身并不是唯一的问题。这些攻击得逞的一个主要原因是许多 WordPress 用户没有更新他们的插件。本文将探讨这些漏洞为何呈上升趋势，以及您可以采取哪些措施来保护您的网站。
大多数WordPress黑客攻击的真正原因
当 WordPress 网站遭到黑客攻击时，我们会迅速将责任归咎于主机提供商或所谓为攻击者敞开大门的插件。插件漏洞确实起了重要作用。根据 SolidWP 的 2022 年 WordPress 漏洞报告，93% 的 WordPress 漏洞来自插件。然而，根本问题往往是用户的疏忽。
大多数黑客攻击的发生并不是因为平台或插件本身不安全，而是因为用户没有及时更新他们的插件，或者因为一些插件被遗弃。
为了更好地了解这些漏洞是如何暴露你的网站的，让我们仔细看看这两个主要因素：
过时的插件
当发现插件存在安全漏洞时，开发人员会收到通知，通常会迅速创建补丁。一旦补丁准备就绪，就会作为更新发布，并发出漏洞披露，提醒用户应用更新。
然而，从漏洞披露到用户实际更新插件之间往往会有一段延迟。黑客正是利用了这一漏洞，在网络上扫描尚未修补漏洞的网站。
2020 年 9 月发现的文件管理器插件漏洞就是一个鲜明的例子，该漏洞影响了 600,000 多个 WordPress 网站。这个零日远程代码执行漏洞允许攻击者访问管理区，运行恶意代码，并在运行旧版本插件（6.0 至 6.8 版本）的网站上上传有害脚本。虽然开发人员在几小时内就发布了修补版本（文件管理器 6.9），但由于用户尚未更新插件，仍有 30 多万个网站存在漏洞，黑客很快就利用了这一延迟。
这个例子说明了简单的延迟更新是多么危险，清楚地表明用户在更新插件方面的疏忽是 WordPress 黑客攻击的主要原因。
被遗弃的插件
废弃插件是许多 WordPress 网站的定时炸弹。尽管 WordPress 团队会从其资源库中永久删除其中一些插件，但仍有许多插件在没有持续维护或安全更新的情况下仍然活跃在网站上。
仅在 2023 年，就有 827 个插件和主题被报告为废弃，比 2022 年的 147 个大幅增加。其中，一半以上（58.16%）因严重的安全问题而被永久删除。
例如，在黑客于 2023 年开始利用 Eval PHP 插件之前，该插件已被遗弃了十多年。该插件最初是为了让用户在 WordPress 帖子和页面中执行 PHP 代码而设计的，后来却成了攻击者向网站注入后门的工具。由于 Eval PHP 不再得到维护，安全漏洞仍未得到修补，黑客利用这一漏洞，使用该插件对网站进行未经授权的访问。
一旦进入网站，攻击者就可以窃取敏感信息，完全控制网站，或将其作为更大规模恶意活动（如 DDoS 攻击）的一部分。即使删除插件也不一定能解决问题–黑客可以通过在网站内容中隐藏后门，在被入侵的网站上继续作案。
这凸显了使用废弃插件的危险。如果不再维护插件，其漏洞就会成为黑客的永久入口。网站所有者必须主动删除此类插件，并用受支持的替代品取而代之，以确保网站安全。
如何保护您的WordPress网站
鉴于插件漏洞的数量不断增加，以及过时和废弃插件带来的风险，采取积极措施保护您的 WordPress 网站安全至关重要。以下是您可以采取的一些实用步骤，以最大限度地降低风险并确保网站安全：
1. 使用优质的托管服务提供商
您的托管服务提供商可以通过提供安全措施来防止常见攻击，从而对 WordPress 网站的安全性起到至关重要的作用。
许多人建立了 WordPress 网站后就忘记了它们的存在，或者依靠代理公司同时管理数百个网站。这样就很容易跟不上安全更新的步伐。正因为如此，拥有一个能够积极查找漏洞的主机就显得尤为重要。
以最近成为头条新闻的 Jetpack 插件为例。该插件的开发人员发布了一个更新，修复了一个影响 2700 万个网站的关键漏洞–这个漏洞自 2016 年以来一直未被注意到！
该漏洞允许任何登录用户查看其他用户的表单提交。Jetpack 团队证实没有证据表明该漏洞被利用，但更新发布后，他们警告说，有人可能会试图利用未打补丁的网站。
一个好的主机可以保护您网站的其他方法包括：
- 恶意软件检测和清理– 您的主机应定期扫描恶意软件，以确保您网站的安全。
- 防火墙和安全监控–防火墙可保护您的网站免受恶意流量的攻击。它能在恶意行为者接触到您的插件之前将其拦截。如果没有防火墙，黑客就可以轻易地攻击过时插件中的漏洞。
此外，请确保您的网站每天都有自动备份，以便在网站受到威胁时可以快速恢复到以前的版本，从而最大限度地减少停机时间并防止数据丢失。
2. 保持插件更新
保护 WordPress 网站最简单有效的方法之一就是确保所有插件、主题和 WordPress 内核都是最新的。大多数更新都包含解决已知漏洞的安全补丁，如果不应用这些更新，就会暴露您的网站。
要确保您的插件始终是最新的，请按照以下步骤操作：
- 定期检查 WordPress 仪表盘上的插件更新。
- 设置一个日程表来审查和更新不能自动更新的插件。
3. 删除废弃或不支持的插件
废弃插件是 WordPress 网站最大的安全隐患之一。如果一个插件不再由其开发人员维护，它就不会收到关键的安全更新，从而容易被利用。
为了保护您的网站，请确保
- 定期检查已安装的插件，删除长期未更新的插件。
- 寻找积极维护的替代品，以取代过时或不支持的插件。
- 检查 WordPress 插件库，确认插件的最后更新日期和开发人员的活动。
4. 只使用可信的插件
并非所有插件和主题都同样安全。安装未经验证来源的插件可能会使您的网站受到恶意代码或拙劣软件的攻击。
为将风险降至最低，请确保
- 坚持使用 WordPress 插件库中提供的插件和主题，或具有良好记录的知名开发商提供的插件和主题。
- 在安装插件之前，一定要查看评论、评级和有效安装次数。
- 优先选择定期更新并得到开发者支持的插件。
- 避免使用存在安全漏洞或安全措施不完善的插件。
5. 限制安装插件的数量
您在网站上安装的每个插件都会带来潜在漏洞，因此限制您使用的插件数量非常重要。
通过使用更少的插件，您可以减少攻击面，将插件相关漏洞的风险降至最低，同时保持更好的网站性能。
6. 限制管理员访问权限并启用强身份验证
限制对 WordPress 管理区的访问可降低未经授权访问的风险。使用强密码和启用双因素身份验证（2FA）可进一步加强网站的安全性。下面是您的具体做法：
- 确保只有受信任的用户才能访问您的 WordPress 网站。
- 使用强大、唯一的密码，并要求所有有权访问管理区的用户都必须这样做。
- 启用 2FA，为暴力登录尝试添加额外的保护层，使攻击者更难入侵。
- 限制特定 IP 地址、IP 范围或地理位置的登录访问。例如，如果您经营的 WooCommerce 商店只面向美国客户销售产品，您可以限制账户创建和登录访问仅限美国用户。这有助于减少网站遭受攻击的风险。
7. 监控漏洞报告
随时了解插件和主题的安全问题，有助于在黑客利用漏洞之前迅速采取行动。要随时了解潜在威胁，请确保
- 订阅安全报告或服务，如 WPScan、Wordfence 或 iThemes Security，以获取实时漏洞警报。
- 定期检查与网站插件相关的漏洞更新。
- 如果您安装的插件或主题被标记为存在漏洞，请立即采取行动。
小结
确保网站安全需要持续的警惕。过期和废弃的插件是黑客最常见的两个攻击途径，但好消息是，有了正确的托管服务，这些风险是可以控制的。
评论留言