自2013年4月以来，已经有数种大规模的WordPress wp-login.php蛮力攻击，这些攻击来自遍布全球的大量受害IP地址。
我们首先从此页面开始，当时有大约90,000个受感染服务器的大型僵尸网络试图通过不断尝试猜测用户名和密码来进入WordPress管理仪表板，从而闯入WordPress网站。
您可以快速查看WordPress登录尝试，以查看您的网站最近是否受到攻击。
通用WordPress暴力保护
请注意–在添加和删除插件或进行一般更改之前，您应该使用信誉良好的插件备份WordPress。
尽管我们强烈建议为WordPress实施尽可能多的安全解决方案，但以下指南将是保护自己和WordPress网站免受进一步攻击的重要第一步。
- 建议的10个步骤来锁定和保护WordPress（本指南的底部）
- 设置辅助WordPress管理员密码
- 使用iThemes安全插件更改WordPress管理URL
- 通过IP地址限制WordPress管理员登录
InMotion Hosting的防御计划
我们的高级系统管理团队已制定了整个车队的安全策略，以帮助遏制这些攻击。
我们积极保护客户，以阻止进一步的攻击蔓延。这些恶意僵尸程序试图闯入一个WordPress网站，然后将其用作僵尸网络的一部分，开始攻击其他站点。
建议的10个步骤来锁定和保护WordPress
1.使用强密码
最低密码建议：
- 总共至少8个字符
- 大写和小写字母的混合
- 数字，标点符号或其他非字母数字字符
弱密码示例： secret1
改进的强密码： Z＃hupsZ2M4！Z
看看如何通过简单的步骤创建安全的WordPress管理员密码。
2.更改默认的WordPress管理员用户名
安装WordPress时，默认情况下，管理员用户的用户名为admin。
僵尸网络攻击当前仅针对此默认用户名，因此，即使管理员用户名为admin123，也可以大大降低恶意用户成功登录您的站点的可能性。
3.使用.htaccess锁定WordPress管理员访问权限
使用WordPress蛮力插件进行这种攻击的效率不是很高，在某些情况下，由于用于挑战每个恶意登录尝试的大量处理能力，实际上可能导致您的站点不可用。
设置二级密码以防止未经授权的WordPress wp-admin和wp-login.php尝试。
或者，您可以依靠.htaccess限制WordPress管理员访问的信息。
4.暂时禁用占用大量CPU资源的登录限制插件
用.htaccess规则阻止此攻击是首选方法，因为登录限制插件不仅会引发触发我们自己的内部安全规则的问题，而且在这种大规模攻击中也将无效。
5.扫描网站上的黑客，检查Google安全浏览
如果您的WordPress网站已成功遭到入侵，则通常可以通过对该网站的表面安全扫描来找到明确的指示，或者也可以将其报告给Google的安全浏览。
通过https://transparencyreport.google.com/safe-browsing/search检查Google对您域的安全浏览
6.设置CloudFlare DNS级别保护
由于这种僵尸网络攻击的规模很大，CloudFlare已为其所有免费帐户提供了针对此攻击的DNS级别过滤。
如果您有很多WordPress站点，则可能不是一个理想的解决方案，因为必须更新每个域的名称服务器，然后通常等待24-36小时进行DNS传播。单个站点所有者可能会从这种保护中受益匪浅，这种保护应该阻止僵尸网络请求，甚至首先将其发送到服务器。
7.备份WordPress
此时，以防万一，备份WordPress可能是一个好主意。这样，随着攻击的继续进行，您可以确保在出现问题时总是有一个很好的还原点。
备份资料
- 在cPanel中备份您的网站文件
- 在cPanel中备份数据库
恢复数据
- 在cPanel中还原您的网站文件
- 在cPanel中还原数据库
8.更新所有WordPress
为了保护自己免受WordPress的已知攻击，您应该更新与WordPress相关的所有内容：
进行必要的更新：
- 从管理仪表盘更新WordPress
- 更新WordPress主题
- 更新WordPress插件
9.清理黑客
如果您的网站是黑客的受害者，那么您可以按照我的指南进行操作，以了解如何在黑客入侵后重新安装WordPress，以获取清理和重新营业的步骤。
希望您的WordPress网站现在应该被锁定并安全，这应该有助于防止我们自己的内部安全规则阻止您自己对WordPress管理员的访问。