wordpress漏洞

2023年夏天，一个做外贸的朋友半夜给我打电话，说网站首页被替换成了一张黑底红字的图片，上面写着“Hacked by ...”。他的站点跑在WordPress上，插件装了二十多个，主题是从某个论坛下载的“破解版”。我登进去一看，后台多了一个从没见过的管理员账号，文件里混进了一个叫wp-cache.php的东西——位置不对，正常的缓存插件不会把文件扔在根目录。

这就是典型的WordPress漏洞利用。不是说WordPress本身烂，它核心代码的安全性其实比大多数CMS要好。问题出在生态上：全球四成以上的网站用它，攻击者自然盯着它。你装一个来路不明的主题，等于把家门钥匙复制一份交给陌生人。那个wp-cache.php我打开看了，混淆过的代码，功能就一个——接收外部POST请求，在服务器上执行任意PHP命令。朋友说网站变慢已经一周了，他没当回事。慢，是因为那玩意儿在后台跑挖矿脚本。

漏洞的来源大致分几类。插件和主题占大头，尤其是那些已经停止更新、下载量却很高的老插件。2022年爆出的Elementor插件漏洞，影响超过百万站点，攻击者可以上传任意文件。核心版本本身也有翻车的时候，比如2019年的CVE-2019-8942，允许作者权限的用户裁剪图片时执行代码。还有一类容易被忽略——弱密码和暴力破解。我见过一个站点，管理员用户名是admin，密码是admin123，这种配置在扫描器面前撑不过十分钟。

说个具体的。WPScan这个工具，你拿它扫一个没做防护的WordPress站点，能直接列出你用了哪些插件、版本号多少、哪些版本存在已知漏洞。攻击者不需要多高的技术，照着输出结果找对应的利用脚本就行。更省事的办法是直接扫/wp-content/plugins/目录下的readme.txt文件，很多插件会在这里写明版本。你连扫描器都不用装。

那怎么防？别指望一个安全插件解决所有问题。我自己的做法是：插件只装必需的，卸掉不用的；主题从官方仓库下或者买正版；登录页加个限速或者改掉默认的wp-login.php路径；wp-config.php里把文件编辑功能关掉，加一行define('DISALLOW_FILE_EDIT', true);。服务器层面，PHP版本别用太老的，7.4以下官方都不支持了。还有，备份。真被黑了，备份比什么安全插件都管用。

有个现象挺有意思。很多人愿意花几百块买个主题，却不愿意花几十块买个安全插件，更不愿意花时间去看一眼服务器日志。等到首页被挂马、Google搜索结果里出现“此网站可能被黑客入侵”的提示，才急着找人清理。清理一次的钱，够买好几年的安全服务了。这笔账算不过来，漏洞就永远有人钻。

WordPress漏洞不会消失。只要它还是最流行的建站系统，攻击就不会停。你能做的，是让自己别成为最容易的那个目标。装的东西越少，暴露的面就越小。更新勤快一点，密码复杂一点，备份多做一份。就这么简单，但大多数人做不到。

本文地址：http://www.79wt.cn/news/1443b1099845.html