WordPress安全入门测试：从零开始检查你的站点

WordPress凭借其灵活性和易用性，成为了全球最流行的网站管理系统。然而，这种普及也让它成为攻击者的重点目标。很多站长直到网站被黑、数据丢失，才意识到安全的重要性。与其事后补救，不如主动进行安全测试。下面这套入门测试流程，能帮你快速发现常见的薄弱环节。

第一步：检查核心、主题和插件的版本状态

过时的版本是WordPress被入侵的头号原因。攻击者会针对已知漏洞编写脚本，专门扫描未更新的站点。操作路径：在后台仪表盘找到“更新”菜单，查看是否有可用的WordPress版本更新。接着，进入“插件”和“外观”页面，检查每个插件和主题是否有新版本提醒。特别注意：如果某个插件已经超过6个月没有更新，建议考虑替代方案，因为说明开发者可能已放弃维护。对于不使用的插件，直接删除即可，不要仅仅停用——残留的代码仍可能被利用。

第二步：评估用户账户与密码强度

很多安全漏洞来自弱口令或多余的账户。进入“用户”页面，执行以下操作：

1. 删除所有不活跃的管理员账户，只保留自己和其他信任的管理员。
2. 检查每个用户的角色。例如，仅登陆发文章的编辑不应拥有“管理员”权限。
3. 为所有账户（包括你自己的）更换强密码。密码应包含大小写字母、数字和特殊字符，长度至少12位。建议使用密码管理器生成随机密码。

另外，禁止使用默认的“admin”用户名。如果你的登录界面允许任何人猜测用户名，攻击者会更容易进行暴力破解。可以安装插件如“WPS Hide Login”来自定义登录地址，或通过代码禁用“admin”用户名。

第三步：审查文件权限与数据库安全

文件权限设置不当会让攻击者直接写入恶意代码。你可以通过FTP或面板的文件管理器检查关键目录的权限：

• wp-config.php：应设置为440或400，仅允许服务器读取。
• /wp-admin/ 和 /wp-includes/：目录权限应为755，文件为644。
• /wp-content/：这个目录常被忽略。确保其中的 uploads 文件夹权限为755，避免允许执行PHP脚本。可以在服务器配置中禁止该目录执行PHP文件。

数据库方面，检查数据库表前缀是否仍为默认的 wp_。如果是，建议在站点初期就修改为随机前缀（例如 xyz_），这能有效防御针对默认表名的SQL注入攻击。另外，确保数据库用户密码复杂且不与其他账户共用。

第四步：运行一次完整的安全扫描

手动检查总有遗漏，利用安全插件可以自动检测常见威胁。推荐使用“Wordfence Security”或“Solid Security”（原名iThemes Security）。安装后，运行一次全面扫描：

1. Wordfence会检查核心文件完整性，对比官方哈希值，发现被篡改的文件。
2. 扫描插件和主题中的已知漏洞。
3. 检查是否存在后门或恶意代码。

扫描完成后，根据结果列表中“高危险”项目逐一处理。对于被标记为可疑的文件，不要直接删除，先通过在线病毒扫描服务（如VirusTotal）二次确认。同时，启用登录防火墙、限制尝试次数等基础防御功能。

定期执行，防患于未然

安全测试不是一次性任务，而是需要融入你的站点维护周期。建议每月重复上述步骤一次，并开启自动备份。当站点流量增长或遇到安全新闻时，额外做一次突击检查。把这套流程变成习惯，你的WordPress就能在绝大多数攻击面前保持坚固。

相关阅读：WordPress安全、WordPress教程、安全扫描