【发布时间】：2020-01-22 14:37:22
【问题描述】：
我正在努力保护我的 WordPress 网站免受黑客攻击 - 更具体地说，是单个非内容页面似乎获得了更多点击。几个月前我正在使用 Siteground 并安装了 WordPress。检查网站统计数据，我被我所看到的吓了一跳。我在下面简要总结了页面点击量。
https:// ... /wp-admin/admin-ajax.php --> 这个页面每个月的浏览量超过 16k 次。考虑到我的网站只上线了 2 个月，没有 SEO，而且没有人知道它的存在，这很奇怪！
https:// ... /index.php/wp-json/wp/v2/users/ --> 这个页面正在泄露我的用户名。
https:// ... /index.php/wp-json/wp/v2/pages --> 似乎显示了我的一个主页中的代码。
还有一大堆看起来很奇怪的页面正在访问：
https:// ... /index.php/wp-json/wp/v2/taxonomies
https:// ... /index.php/wp-json/wp/v2/categories
https:// ... /index.php/wp-json/wp/v2/taxonomies/post_tag
https:// ... /index.php/wp-json/wp/v2/taxonomies/category
https:// ... /index.php/wp-json/wp/v2/tags
https:// ... /wp-admin/load-styles.php --> 显示空白屏幕
还有更多的负载，一些重定向到 WordPress 登录页面，而另一些则显示空白屏幕。还有一些 URL 允许任何用户下载 *.woff 文件（不管是什么？！）。
重点是，我认为 WordPress 足够安全，至少不会让这些页面可见并显示详细信息。
有什么我可以做的吗？正如我所指出的，我使用的是不使用 cPanel 的 Siteground。
我认为博客网站最困难的部分是内容创建和整体网页设计。我现在不确定。
任何帮助和/或建议将不胜感激。
谢谢。
【问题讨论】：
-
您能做的最有影响力的事情可能是确保运行 Web 服务器进程的用户没有对其所服务的任何文件或目录的写入权限。
-
浏览您的主题 + 模块，确保它们都是必需的、最新的并且值得信赖。
-
Wordpress 网站是臭名昭著的探测目标，当他们试图寻找空缺时，您几乎会不断地对您网站中的所有内容进行点击。 FWIW 我使用 Gerber 安全来监视事情，它在阻止坏人方面做得很好。除非您不使用 Wordpress，否则您不会停止探索。
-
即使你不使用WordPress，你的服务器也会被探测到各种漏洞。像 phpmyadmin、其他 CMS 文件或可能位于您的 Web 根目录中的框架文件。另一个示例是不在您的 Web 根路径中保护
.git目录。除了 WordPress 之外，还有许多其他技术需要实施以加强网站的安全性，例如 CORS 策略、Anti-XSS、CSRF 等。