知名站长教你打造一个安全的WordPress站点

PetitQ WordPress教程 2019-6-30 1.28K 0 1

现在全球有超过 33%的网站在使用 WordPress 程序，这意味着，WordPress 已经是关注的焦点，那么会被更多的研究，读源代码，测试网站安全性。虽然 WordPress 程序一直在更新，但每隔一段时间 WordPress 官方还是会发布新版的 WordPress 程序，基本上是小版本维护更新，主要是修复已经存在且被验证过的安全问题。

而且经常有使用 WordPress 程序的朋友问，说网站手机版会跳转到一些乱七八杂的网站，网站根目录及一些目录出现一些不规则的目录及文件，在根目录的 index.php 和 wp-config.php 出现一些类似乱码的代码。这些都表明，WordPress 网站并没有想象中的那么安全。所以，打造一个安全，稳定运行的 WordPress 是一件非常重要的事情，Wopus 做了这么多年 WordPress 相关服务，今天写下这篇文章，把一些经验分享给有需要的朋友。

也想出现在这里？联系我们吧

1. 确保使用云主机，在过去几年这是不现实的，但是最近两三年，云主机价格已经降低很多了，降低到可以接受的价格了。另外就是使用共享主机，你可以确保自己的账户安全，但没办法保证共享主机其他主机账户的安全，虽然会相互隔离，但这增加了不稳定的风险，所以建议使用独立 IP 主机。

2. 使用安全的域名 DNS，域名 DNS 一直都没有被重视，但却是网站稳定运行的重要一环，有兴趣的朋友可以去新浪微博搜索一下域名 DNS 故障，看看能搜索出来多少信息。一般域名注册商都提域名 DNS 服务，但这些并不是非常稳定，又或者不是很好用。比较出名的域名 DNS 服务商：dnspod.cn 是一个，腾讯云使用的也是 dnspod.cn；阿里云自己研发了 dns，还开发了收费的 DNS 服务器。从某一个角度来说，所有的域名提供商都希望卖域名而不提供域名 DNS 服务，毕竟优质的 DNS 服务是需要很大投入的。

3. 从正确的途径购买或者下载使用 WordPress 主题及插件，正确的途径包含但不仅有：收费 WordPress 主题/插件作者官网、WordPress.org 官网。尽量不要从第三方网站购买主题（淘宝是最大的源头，购买的主题没售后，而且没升级的保证，没升级的保证就没有安全的保证），不要购买或使用所谓的破解版主题和插件。

4. 及时升级 WordPress 程序，主题及插件。

5. WordPress 插件如果超过 6 个月没更新，大概率这款插件作者已经不会再更新了，所以，需要删除这个插件，然后找一个功能类似的插件替换。WordPress 主题也有类似的问题。

6. 安装 WordPress 安全插件，建议安装 Wordfence Security 插件，具体可参考『WordPress 站点安全卫士插件:Wordfence Security 』和『WordPress 插件 Wordfence Security 主要功能设置和使用图文教程』。

7. 最后分享一下网站已经被植入恶意代码的修复思路：

1）如果是共享主机，就要先联系主机提供商，问问是否是服务器的问题，如果不是，就可以开始检查网站代码了。恶意的代码一般分为两种：

一种是恶意文件，这些文件一般分为两类：一类是完全不规则的命名，一类是类似 WordPress 系统默认文件，都是 PHP 结尾的，所以一定要检查清楚。

另外一种就是恶意代码，会插入到已经存在的系统 php 文件里，这个也是不规则的，但 wp-config.php，首页 index.php 肯定会被插入恶意代码。

2）接着继续检查 WordPress 主题和插件，这两个是最容易出问题的。因为主题和插件来源不可控，所以最容易出问题，还是上面的一个原则，尽量选择来路正常的，插件一定要选择 wordpress.org 官方收录而且一直更新的。

3）当然 WordPress 程序是一定要更新到最新版的。

4）这里说回最开始，恶意代码如果非常多的，比如使用安全插件处理也非常麻烦，比如有几百个，这样就要重装网站了，重装网站只需要备份以下内容：

数据库；

wp-content 目录下的所有主题、插件和 uploads 目录。

备份所有的主题和插件只是为了做检查对比使用，不能上传到重置后台的主机对应目录上，而 uploads 目录就是要压缩上传的，所以需要把 uploads 目录下所有目录都检查清楚，uploads 图片目录只能有图片，不会有任何以 php 结尾的恶意文件。接着就是重置主机，重新安装 WordPress，导入数据库，上传检查 uploads 目录，然后对比主题和插件，有问题的插件就不要用了，主题也是。

如果是独立主机，也需要做一些事情，这个和选择的主机商也有关系，Wopus 以后会写一篇独立云主机安全建议的文章。

整个过程就是这样，如果恶意文件比较少，可以用安全插件扫描，对比，加固或者删除。从整个过程来看，养成良好的习惯，是更重要的事情。