诶哎一下

标签： 安全插件

  • WordPress遭遇蛮力攻击的8种对应措施

    WordPress蛮力攻击保护措施

    蛮力攻击是通过试错法尝试解锁受密码保护的网页的方法。劫机者使用复杂的机器人来猜测登录、注册和其他页面表单上的用户名和密码，并试图接管该网站。机器人不断尝试猜测凭据并在您的服务器上施加大量负载。

    因此，即使您不是从安全角度考虑，也必须阻止这些机器人/用户以减少托管服务器上的负载。在本文中，让我们讨论如何防止WordPress中的暴力攻击。

    停止WordPress中的蛮力攻击

    有不同的方法可以保护您的登录页面并阻止WordPress中的暴力攻击。但是，您需要一个插件来启用这些功能，在本文中，我们将主要使用Jetpack和All In One WP Security and Firewall插件进行说明。

    有时您的托管公司可能会为此提供专用插件。例如，您可以在使用SiteGround托管时使用SiteGround安全插件。

    1. 使用Jetpack插件进行暴力预防

    Jetpack提供了许多模块，“Security”是阻止暴力攻击的模块之一。

    • 转到管理面板中的“Jetpack > Settings”菜单。
    • 当您在“Security”部分时，向下滚动并激活“Protect”模块。

    在Jetpack中启用蛮力攻击保护

    在Jetpack中启用蛮力攻击保护

    • 启用后，Jetpack将自动保护您的站点，而登录表单上没有任何可见的验证码。
    • 此外，您可以单击“Protect”选项并添加IP地址列表以允许访问您的登录页面。该插件仅允许列出的IP地址访问您的WordPress登录页面，所有其他IP将被阻止登录到管理仪表盘。

    Jetpack中的白名单IP

    Jetpack中的白名单IP

    2. 使用All in One WP Security & Firewall插件进行暴力预防

    Jetpack的暴力预防非常简单，没有太多其他选择。All in One WP Security & Firewall插件是流行且免费的安全插件之一，有助于有效保护您的WordPress网站。从您的WordPress仪表盘安装并激活插件。它将在管理仪表盘的侧边栏上创建一个新菜单“WP Security”。

    搜索All in One WP Security & Firewall插件

    搜索All in One WP Security & Firewall插件

    该插件以积分衡量您网站的安全性，激活各个安全选项将增加积分。为了防止暴力破解，请导航到“WP Security > Brute Force”部分以查看多个选项，如下所示：

    蛮力攻击预防选项

    蛮力攻击预防选项

    在使用任何安全设置进行处理之前，请确保具备以下条件：

    • 使用站点文件和数据库备份整个站点。该插件将创建数据库表并修改.htaccess等站点文件。
    • 确保您可以通过FTP访问您的托管服务器。当您被锁定在管理仪表盘之外并且无法登录时，这是恢复文件所必需的。
    • 仅当该选项适用且您需要时才启用。

    我们将在以下部分解释此插件可用的其他选项。

    3.重命名登录页面

    通过将后缀“/wp-admin/”或“/wp-login.php?action=login”添加到您的站点，可以轻松访问WordPress登录页面。由于任何人都可以使用其中一个URL访问您的站点，因此暴力预防的第一步是重命名登录页面。选中“启用重命名登录功能”框并提供难以猜测的所需字符串。

    重命名WordPress登录页面

    重命名WordPress登录页面

    例如，如果您想将登录页面 URL 更改为“yoursite.com/login/”，则在文本框中输入“login”一词。

    • 重命名登录页面将使您注销，您需要使用新 URL 再次登录。
    • 此功能将影响所有用户，因此如果您有用户注册或需要注册才能在您的网站上发表评论，请不要激活。
    • 此功能将影响使用默认登录页面的任何其他插件的功能。

    4. 基于Cookie的暴力预防

    防止暴力攻击的下一个选项是基于浏览器上可用的cookie。启用复选框“Enable Brute Force Attack Prevention”并在下一个“Secret Word”文本框中提供密码。

    WordPress的基于Cookie的暴力登录预防

    WordPress的基于Cookie的暴力登录预防

    例如，如果您想将密码词添加为“test”，那么登录URL将为“http://yoursite.com/?test=1”。您可以将“/?secret-word=1”添加到您的站点URL以访问登录页面。此外，您可以设置“Re-direct URL”以将未经授权的用户重定向到该页面。通常，您可以将其设置为localhost IP 地址“http://127.0.0.1”，以防止服务器负载。如果您有受密码保护的页面，则启用复选框“My Site Has Posts Or Pages Which Are Password Protected”。

    如果您有一个使用Ajax的主题或插件，则启用复选框“My Site Has a Theme or Plugins Which Use AJAX”。通常大多数主题和插件都使用Ajax，因此您应该启用此选项并测试您的站点是否正确加载。

    • 此方法类似于重命名登录页面，因此上述所有警告也适用于此方法。
    • 由于“rename login page”和“cookie based brute force prevention”方法都会更改登录页面URL，因此您可以在您的站点上一次使用其中一种方法。

    5.登录验证码

    由于前两个选项会影响多用户环境，例如具有登录、注册和电子商务功能的网站，因此仅启用验证码是您可以用来阻止暴力攻击的最简单方法之一。在本节下，您有三个选项可以在表单上启用数学验证码：

    • 在默认的WordPress登录页面上添加验证码。
    • 在使用WordPress函数“wp_login_form()”的网站上使用的所有表单上启用验证码。
    • 在丢失密码请求表单上启用验证码。

    All in One WP Security插件中的登录验证码设置

    All in One WP Security插件中的登录验证码设置

    6.登录白名单

    与Jetpack的白名单管理类似，All in One WP Security & Firewall插件也提供“Login Whitelist”选项。这将只允许列出的IP地址访问您的WordPress登录页面，而所有其他IP地址将被拦截。

    使用All in One WP Security插件设置登录IP白名单

    使用All in One WP Security插件设置登录IP白名单

    7.Honeypot保护

    最后一个选项是启用“Enable Honeypot On Login Page”。这将在登录表单上设置一个新字段，该字段对人类用户不可见，仅对机器人可见。由于机器人用于填写登录表单上的所有字段，如果隐藏字段被填写，插件将停止访问。因此有助于有效地停止机器人。

    WordPress登录页面的Honeypot设置

    WordPress登录页面的Honeypot设置

    8. 限制登录尝试

    限制登录尝试是防止WordPress暴力攻击的主要解决方案。All In One WP Security插件还具有限制登录尝试次数的选项。但是，如果您不想使用繁重的插件，则可以使用专门的插件来限制登录尝试。例如，您可以使用限制登录尝试重新加载插件来配置任何人都可以尝试登录的允许尝试次数。如果达到限制，插件将拦截IP地址并通知管理员。通过这种方式，您可以允许合法用户登录，同时在几次尝试后阻止自动机器人。

    小结

    All in One WP Security & Firewall插件提供了保护您的WordPress网站的详尽方法。尽管这看起来很有吸引力，但请确保测试每个功能并仅在您的站点需要时使用。重命名登录页面、基于cookie的选项和IP白名单可用于没有用户注册的单个用户站点。其余选项，如启用登录验证码和Honeypot，可以在所有类型的网站上使用，没有任何问题。您还可以一起使用“Jetpack”和“All in One WP Security & Firewall”插件来阻止对您网站的暴力攻击。

  • All in One WP安全和防火墙插件教程

    All in One WP安全和防火墙插件教程

    安全性是运行WordPress网站的重要因素之一。幸运的是，有许多免费和付费服务可用于保护您的网站并防止黑客和恶意攻击。

    在本文中，我们将讨论如何使用All in One WP Security & Firewall插件保护您的WordPress网站。

    为什么All in One WP Security & Firewall插件？

    有许多流行的安全插件可用，但“All in One WP Security & Firewall”是唯一一个完全免费提供大部分所需功能的插件。

    • 该插件有超过400k的活动安装。
    • 定期更新并与最新的WordPress版本兼容。
    • 来自450多名用户的近5星评级。
    • 论坛上体面的在线支持。

    安装和激活插件

    导航到WordPress管理仪表盘上的“插件 > 安装插件”部分，然后搜索“All in one WP Security”以找到插件。

    查找All in One WP Security & Firewall插件

    查找All in One WP Security & Firewall插件

    安装并激活插件后，它将创建一个名为“WP Security”的菜单项。它在不同类别下提供详尽的选项来保护您的WordPress网站。

    • 仪表盘
    • 设置
    • 用户帐户
    • 用户登录
    • 用户注册
    • 数据库安全
    • 文件系统安全
    • WHOIS查询
    • 黑名单管理器
    • 防火墙
    • 蛮力
    • 垃圾邮件预防
    • 扫描器
    • 维护
    • 各种各样

    这个怎么运作？

    该插件适用于积分系统，并为每个安全设置提供积分。它总共增加了470分，并且更多的分增加了您的WordPress网站的安全性。通过启用复选框，只需单击鼠标即可启用大多数选项。您可以单击“更多信息”框以查看该选项的更多详细信息和示例。

    启用任何选项之前的注意事项

    尽管安全性很重要，并且该插件会试图增加强度计上的分数，但每个设置都可能对您网站的可读性产生不利影响。如果错误启用该选项，也有可能与其他插件发生冲突并锁定您自己的IP。强烈建议在启用任何安全设置之前准备以下内容：

    • 备份整个站点和数据库。
    • 由于插件在.htaccess文件中创建条目，备份.htaccess文件将有助于恢复原始设置。
    • 备份wp-config.php文件。
    • 确保您可以通过FTP访问您的托管服务器。这将有助于在紧急情况下替换文件。

    总之，备份您的所有站点内容并仅启用您需要的安全选项。也建议在启用防火墙、用户注册审批等功能后验证网站的可访问性。

    仪表盘

    仪表盘显示指示站点安全点的强度计。这些点也显示在明细表中，指示选项之间的权重和分布。

    All in One WP Security & Firewall插件仪表盘

    All in One WP Security & Firewall插件仪表盘

    您可以直接从仪表盘启用一些选项，例如维护模式、禁用“管理员”用户名、启用基本防火墙等。我们建议不要直接在仪表盘上启用任何设置。转到个人设置页面并仅在需要时启用。

    以下是仪表盘选项卡上可用的其他详细信息：

    • 系统信息——显示您的WordPress安装、PHP版本和活动插件详细信息的完整详细信息。
    • 锁定的IP地址– 如果在“User Login”选项卡下启用该选项，则显示锁定的 IP 地址列表。
    • 永久阻止列表– 显示因垃圾评论而永久拦截的IP地址列表。该选项可以在“SPAM Prevention > Comment SPAM IP Monitoring”下启用。
    • AIOWPS日志– 您可以在此处查看插件的安全日志文件。

    设置选项卡

    “设置”选项卡提供备份和高级选项，例如导入/导出插件的所有设置。

    AIOWPS设置选项卡

    AIOWPS设置选项卡

    • 常规设置 – 在这里您可以一键禁用插件的所有安全功能和防火墙设置。当您的网站因插件设置而损坏时，这将是必需的。您还可以启用/禁用插件的调试选项。
    • .htaccess文件– 如上面的预防措施部分所述，强烈建议在启用任何安全和防火墙设置之前备份.htaccess文件。您还可以从备份中恢复.htacess文件。
    • wp-config.php文件– 类似于.htaccess文件，在此选项卡下您可以备份和恢复 wp-config.php 文件。
    • WP版本信息– WordPress自动生成版本号并使用元标记在每个页面上显示。当您使用最新的WordPress版本时，显示版本号不是问题。但是，如果您没有更新到最新版本并使用任何旧版本，那么黑客可以通过查找版本号轻松定位您的网站。您可以在此选项卡下隐藏版本。
    • 导入/导出– 导入或导出整个插件设置。

    用户帐户

    您在用户帐户部分有三个选项。

    • WP用户名 – 在这里您可以将名称为“admin”的用户更改为所需的名称。
    • 显示名称– 检查具有相同登录名和显示名称的用户列表。一般不建议使用相同的显示名和登录名，以免黑客猜测登录名。这不是一个重要的设置，因为只需检查文章作者就很容易找到登录名。
    • 密码– 检查您的密码强度，仪表将显示黑客猜出您的密码需要多长时间。

    用户登录

    用户登录部分允许使用以下设置控制用户登录到您的站点：

    AIOWPS插件用户登录设置

    AIOWPS插件用户登录设置

    • 登录锁定– 在一定次数的不成功尝试后启用锁定用户。此功能有助于停止所有机器人并在某些用户 ID 被锁定时发送电子邮件通知。
    • 登录失败记录– 查看失败的登录尝试以及IP地址和用户名。
    • 强制注销– 启用此选项可在一定时间后强制注销所有用户。
    • 帐户活动日志– 查看登录到您网站的最后50个用户ID的列表。
    • 登录用户– 查看当前登录您网站的用户。

    用户注册

    在此部分下，您可以手动批准尝试在您的网站上注册的用户，并在默认的WordPress注册表单上添加验证码。当您有电子商务插件用于在您的网站上销售商品并进行用户注册时，启用此功能将阻止实际客户，因为他们将无法自动注册。因此，当您出于任何其他目的需要具有自动注册功能时，请勿启用此功能。

    数据库安全

    默认情况下，WordPress为所有数据库表添加前缀“wp_”。在此部分下，您可以将默认值更改为随机前缀，这将提高您网站的安全性。您还可以定期安排数据库备份和电子邮件备份。

    据我们检查，电子邮件功能似乎不适用于此插件。因此，不要回复此插件进行备份，还有许多其他可用于WordPress的专用备份解决方案。

    文件系统安全

    您在文件系统安全部分有以下四个选项。

    • 文件权限– 检查您的WordPress安装的所有文件和文件夹是否具有读/写访问权限并设置正确的权限。
    • PHP文件编辑– 从仪表盘禁用文件编辑。此选项将删除“编辑器”菜单以直接从仪表盘编辑主题和插件文件。
    • WP文件访问——黑客可以使用readme.html、licence.txt和wp-config-sample.php文件获取有关WordPress安装的更多信息。启用此选项将禁用对这些文件的直接访问。
    • 主机系统日志– 查看您的托管服务器的错误日志文件。

    WHOIS查询

    虽然WHOIS查询不是一项安全功能，但它可以在管理仪表盘中查看IP地址或域名的详细信息。

    黑名单管理器

    拦截IP地址和用户代理访问您的站点。可以使用通配符输入IP地址，例如 195.*.*.* 或 195.47.*.*。用户代理部分只有在它有单词的情况下才会起作用，如果用户代理名称有带有 的单词，那么插件似乎不起作用。

    防火墙

    这是您需要仔细启用的部分，并检查它是否会影响您网站的可访问性。查看我们关于使用带有AIOWPS插件的防火墙选项的单独详细文章。

    暴力破解

    暴力破解是一种尝试通过试错法访问受密码保护的页面的方法。AIOWPS插件有多个选项可以阻止对您的WordPress网站的暴力攻击。我们有一篇详细的文章解释了如何使用AIOWPS和Jetpack插件来阻止暴力攻击。

    垃圾评论拦截

    AIOWPS插件有助于阻止机器人提交的垃圾评论，并允许在评论表单上添加验证码。了解有关使用AIOWPS插件拦截评论垃圾邮件的更多信息。

    扫描器

    在此部分下您有两个选项——一个是免费使用的，另一个是付费的附加组件。

    • 文件更改检测– 为您的站点启用自动文件更改检测扫描，其中包含要检查的文件扩展名列表和要排除的目录。
    • 恶意软件扫描– 这是第三方网站的付费插件，用于扫描您的网站以进行恶意软件检测。

    维护

    当您的站点因维护而停机且用户无法访问时，请启用维护模式。理想情况下，维护模式和安全性之间没有关系，除非您的站点已经受到影响并且您希望让用户远离访问内容。

    其他杂项

    AIOWPS插件杂项设置

    AIOWPS插件杂项设置

    • 复制保护 – 禁用右键单击您的网站，这样用户将无法复制内容。
    • 框架 – 禁止其他网站在框架内显示您的内容。
    • 用户枚举——禁止使用“yoursite.com/?author=name”之类的链接直接访问作者详细信息。启用后，如果有人试图在浏览器地址栏中获取作者详细信息，插件将抛出如下错误：

    通过链接禁止作者信息

    通过链接禁止作者信息

    卸载AIOWPS插件

    这个插件的安装会添加备份目录和多个MYSQL表。因此，仅卸载和删除插件不会完全从您的站点中删除插件文件。最好的方法是按照以下分步流程进行操作：

    • 禁用“WP Security > Settings > General Settings”下的所有安全和防火墙设置。
    • 从仪表盘卸载插件。
    • 从仪表盘中删除插件文件。
    • 通过FTP连接到您的托管服务器并删除插件存储的备份文件。
    • 从“cPanel”打开“phpMyAdmin”并从站点数据库中删除插件表。

    如果您在访问站点时遇到任何问题，请在安装插件之前尝试从备份中恢复“.htaccess”和“wp-config.php”文件。