网络安全是一个长期的热门话题，今天比以往任何时候都更是如此。作为 WordPress 网站所有者，重要的是要加强安全性，并尽最大努力保护您的网站现在或将来免受任何形式的攻击WordPress本质上是一个高度安全的平台。安全团队由许多专家组成，他们在每次新更新时都努力处理安全问题。但是，没有一个站点是完全安全的，这意味着您仍然可能遇到漏洞。在本文中，raksmart荷兰独立服务器将考虑五种最常见的 WordPress 安全威胁，以及如何使用最佳实践来防止它们。我们走吧!
我们如何选择最常见的 WordPress 攻击
就本文而言，我们的建议将基于开放 Web 应用程序安全项目 (OWASP)排名。自 2001 年以来，OWASP 一直是促进在线安全和可信度的一个组成部分。他们是一个非营利基金会，致力于提高互联网上的软件完整性。推荐阅读：《如何保护您的 WordPress 免受暴力攻击》
该项目设定了全面数据收集的明确目标，并通过利用 OWASP Azure云基础设施来收集、分析和存储贡献的数据来实现这一目标。本质上，志愿者可以通过电子邮件发送 CSV/Excel 文件或将其上传到贡献文件夹来简单地贡献数据。
OWASP 使用这个数据收集和分析系统来编制网站经常遇到的十大安全风险列表。该项目在全球拥有约 275 个地方分会，在帮助组织开发和维护值得信赖的软件应用程序方面享有盛誉。
5 种最常见的 WordPress 攻击(以及如何防止它们)
如果您的 WordPress 网站的安全性是优先考虑的事项，此列表将帮助您了解要注意的攻击以及如何防止它们。让我们开始!
1. 注塑缺陷
您可能在 WordPress 网站上遇到的最突出的漏洞是代码注入漏洞。当您的站点允许用户通过易受攻击的入口点(例如联系人或登录表单)输入数据时，您通常会遇到注入。
当输入的数据未“验证”时，您可能容易受到这种攻击。SQL 注入是最常见的，但其他类型，如 NoSQL、OS 和 LDAP 注入也可能是一个问题。
注入漏洞通常会导致访问被拒绝、数据丢失和损坏、泄露给未经授权的各方，甚至完全接管主机。
防止注入的最佳方法是将命令与您网站上的查询分开。WordPress 开发人员可以使用某些 SQL 控件(例如LIMIT)来防止这种情况。网站所有者还可以利用安全插件(例如Malcare)来保护他们的网站。
2. 认证失败
当身份和会话控制的实现存在漏洞时，就会发生身份验证失败。站点身份验证控制的强度高度依赖于会话管理。
如果没有正确实施，黑客可能会破坏您的密钥、密码和会话令牌。在大多数情况下，您最终可能会遭受身份盗用、社会保障欺诈和高度敏感信息的泄露。
如果您想将身份验证失败的风险降到最低，您应该在您的站点上实施多因素身份验证。更重要的是，寻找替换您在创建新 WordPress 站点时提供的默认凭据。弱密码检查也不应该是一种选择，尤其是对于管理员用户。推荐阅读：《如何防止社交媒体服务器上的黑客攻击》
3. 跨站脚本(XSS)攻击
与注入攻击非常相似，XSS 攻击发生在站点的入口点——例如用户输入字段。当自动化应用程序在您的站点上检测到任何形式的 XSS 时，就会发生这些攻击。可以利用它通过用户输入的数据将不受信任的数据潜入缺乏适当验证的新页面或现有页面。
跨站点脚本允许攻击者在受害者的浏览器中远程执行代码。这样，他们就可以窃取他们的凭据或传播恶意软件。您可以通过使用两种策略来防止 XSS 攻击。
第一个策略是确保从一个页面生成的网络请求不会访问另一个页面上的数据。同样，您的网站必须能够区分常规输入和恶意代码。React JS 等框架通过设计避开了这种攻击。
通常，防止 XSS 攻击始于良好的开发实践。对于网站所有者来说，选择一个强大、安全的主题至关重要。
4. 敏感数据暴露
敏感数据暴露可被视为数据泄露。当敏感数据被传输或存储在您的站点上时，您必须采取适当的措施以确保黑客无法对其进行攻击。否则，如果暴露，攻击者可以窃取密码、信用卡详细信息、会话令牌等等。
除了将您自己的敏感数据置于危险之中之外，您的网站访问者也可能成为受害者。这就是为什么您必须尽最大努力确保您网站上的数据安全。
为了逃避此类攻击，重要的是您永远不要以纯文本形式存储数据或接受通过非 HTTPS 连接发送的数据。对于网站所有者，合适的 SSL 证书可以帮助您加密跨网络的最敏感数据。
5. XML 外部实体 (XXE)
这种类型的攻击是由旧的或管理不善的可扩展标记语言 (XML) 处理器引起的。这些评估对 XML 文档中外部实体的引用。在此过程中，攻击者可以利用配置错误的 XML 解析器，该解析器直接或通过 XML 上传接受 XML。换句话说，他们现在可以访问任何引用外部实体的 XML 输入。
XXE 可用于执行拒绝服务 (DOS) 攻击、提取数据，甚至还可以实现来自服务器的远程请求。开发人员的专业知识在识别和处理 XML 外部实体方面大有帮助。
作为最终用户，为了防止这种攻击，您需要使您的核心 WordPress 安装保持最新。XXE 问题通常在基础代码级别，并在核心软件的版本更新期间进行修补。
结论
虽然核心 WordPress 软件不断更新以减轻主要的安全威胁，但插件和主题可能是用户关注的主要来源 – 特别是如果它们编码不当。从本质上讲，您对站点安全性的关注越多，处理这些问题的可能性就越小。
在这篇文章中，我们研究了当今五种最常见的 WordPress 攻击。推荐相关阅读：《怎样确定海外服务器是否抗攻击》
