弱口令、后台安全
很多网站被入侵了, 这个情况其实并不是因为代码漏洞有多么高级, 而是因为后台的账号使用了 123456、admin 或者和邮箱同一个这样的密码。弱口令以及后台安全的问题, 这往往是攻击者成本最低的入口。后台安全要先从登录这一道关卡收紧去进行防护, 然后再去谈防火墙和扫描器。
弱口令和后台安全，先把登录入口收紧
第一步工作, 是需要强制启用强度非常非常高的密码。这个密码的长度, 必须得包含至少十两个字符那么长。在大写字母小写字字数字以及符号之间, 要进行混合搭配。绝对不可以使用生日日期或者是域名地址又或者是一些常见的单词内容来作为密码。
至于管理员用户的账号名称, 千万不要简单地取名为 admin 这样普通的字眼。后台管理界面登录地址的这个路径, 也不要去长期继续使用诸如 wp-admin 这样默认存在的地址。只要存在可以修改的可能性, 就一定要将其改成那些别人很难轻易能够猜测到的复杂路径状态。
第二步, 是给登录这个功能加上一些限制措施。具体怎么做? 就是要开启两步验证的功能, 还要对同一个IP地址发起的失败登录次数进行限制。一旦发现失败次数到了某个数值, 系统就会暂时把这个用户锁定起来。
为什么这样做很重要? 因为, 弱口令和后台的安全问题, 最害怕的就是被人无限次地尝试破解。要是没有这种限制, 攻击者就可以慢慢地去试各种密码, 而我们的站点, 却不会发出任何警告或者告警信息。
账号和权限要分清
在日常撰写文章的时候, 应当选择使用编辑者登录或者是作者身份进行登录的操作, 唯有当遇到需要安装插件或者更改后台主题设置的特殊情况时, 才可考虑使用管理员的身份进入系统。
对于那些已经离职的员工所使用的账号以及长时间处于闲置状态的账号, 必须及时进行删除处理, 坚决杜绝多个用户共同分担同一个后台登录账号的做法。
因为所赋予的权限范围越小, 一旦涉及到密码设置过于简单这类弱口令问题, 又或者在管理后台的安全防护机制遭受了破坏而出现问题之时, 最终能够波及和影响的范围就会控制得相对较小一些。
后台安全还包括数据库、FTP、SSH，不要和后台共用一套密码。弱口令和后台安全不只是WordPress登录框, 服务器面板、宝塔、数据库管理工具的弱密码同样会被扫。
减少后台暴露面
WordPress后台里最容易出现安全漏洞的地方包括那些早就过期的插件, 还有主题文件编辑器以及XML-RPC功能。我们应当确保所有插件和主题都及时更新, 并且要在wp-config.php这个配置文件里面把文件编辑的功能关掉了。
当不再需要用到XML-RPC的时候, 就把它给禁用掉。后台安全还包括目录权限，后台所在的那个目录, 千万不要让它允许别人直接列出里面的文件列表。
如果站点已经装了安全插件，别再叠加多个同类防火墙。弱口令和后台安全的重点是登录、权限和更新，插件只是执行工具。站内的服务器安全加固清单和WordPress 安全插件可以配合使用。
监控、备份和应急
必须要能够通过查看后台的登录日志, 来查明在某个具体的时间点, 是从哪一个 IP 地址发起的登录请求, 以及该次尝试失败了多少次。如果在发现异常之后, 需要先立即修改密码, 并且踢掉所有已经存在的会话连接, 然后再去仔细检查系统中的插件以及主题相关文件有没有被篡改过。
所谓针对弱口令以及后台安全的保障措施, 它绝不是一次性的简单设置任务, 而是要在面对人员更替、插件变更或者服务器更换等各种不同情况的时候, 都要重新进行复查和确认。
因此, 针对弱口令问题和后台安全问题的检查流程, 最好是能够整理成为一个月度清单的形式, 要求在每月定期将账号信息、密码强度、两步验证机制的设置状态以及登录失败的记录情况, 逐一地全部查看一遍。
数据备份这件事, 如果想要能够真正实现恢复的效果, 那么非常建议大家保留一份处于离线状态的备份副本。一旦发生被入侵的情况, 大家最担心的一种局面就是删除了的恶意程序又再次复发, 产生这种情况的核心原因通常是因为那些允许入侵的入口并没有被封堵或者改变。
关于弱口令以及后台安全防护这两个方面的收尾工作主要指的是需要确认所有的入口都已经更换了密码, 并且要确保所有的会话信息都处于失效状态。
常见问题
改了强密码就安全了吗？
这个看法是不够的, 因为强密码只能解决猜解的问题，而插件漏洞、被盗的Cookie以及服务器层面的弱口令仍然能够绕过登录环节, 所以需要把弱口令问题和后台的安全问题放在一起处理, 也就是要同时把账号的安全、权限管理和软件更新都管起来。
隐藏后台地址有用吗？
对后台安全来说，这种做法是有用的, 不过它仅仅是降低了被扫描到的可能性, 而并不能作为一个真正的安全边界。关于弱口令问题和后台安全, 是绝对不能单单依赖于隐藏地址来解决的。真正核心的手段应当是采用强密码策略、启用两步验证机制以及在检测到多次失败后实施锁定。
已经被暴力破解了怎么办？
先把管理员的密码改成别的, 并且让现在所有的登录会话全都作废, 然后接着去查一下那个登录记录的日志还有文件被修改的变动情况, 最后确认一番并没有多出新的管理员账号来这样, 等到那些容易被人猜出来的弱口令以及后台的安全问题都处理妥当以后, 再到手把之前已经被改掉的文件和那些页面全部都恢复回去。