[ad_1]
在网络安全方面，您不知道的事情可能会伤害您。 这正是零日漏洞和零日攻击的情况。 不认真对待您的安全可能会对您和您的企业造成毁灭性的影响。
幸运的是，您的武器库中对抗恶意黑客和安全威胁的最佳武器是对自己进行安全风险、安全最佳实践和可能使您的 WordPress 网站容易受到攻击的潜在零日漏洞的教育。
准备工作是本文的重点。 请继续阅读，我们将向您展示六种保护您的 WordPress 网站免受零日攻击的方法。
什么是零日攻击？
当恶意行为者或黑客发现某个软件中的安全漏洞并利用它来获得对您的 WordPress 网站的未经授权的访问时，就会发生零日漏洞。 重要的是要注意，开发人员必须不知道安全漏洞才能成为“零日”漏洞。
零日攻击或零日漏洞得名于这样一个事实，即一旦漏洞披露被知晓或公开，您就可以通过发布解决有问题的安全问题。
这通常涉及全天候工作，并且可能是一种非常不愉快的经历。 但是，如果您未能及时发布补丁，而黑客在您之前发现了漏洞，后果可能是可怕的。
让我们看一下黑客用来攻击易受攻击系统的一些常用方法：
Fuzzing：Fuzzing 是黑客用来访问您的系统的一种暴力攻击。 模糊测试涉及使用软件将各种随机的、无意义的值输入到您网站的各种输入框中。 几乎每个网站都有用于输入内容的输入框，包括搜索栏、登录页面上的文本框等。当网站的代码中有漏洞时，黑客可以通过在输入垃圾邮件时查找崩溃来检测漏洞带有无意义数据的框。
Pretexting： Pretexting 是指黑客使用虚假借口获取私人详细信息，从而使他们能够访问您的帐户。 在这种情况下，黑客会伪装成其他人（通常是技术支持主管或您银行的人员），并以解决某些问题为借口要求您提供帐户详细信息。
网络钓鱼：当有人通过冒充您认识的人诱使您泄露机密信息、打开恶意文件或单击损坏的链接时，这称为网络钓鱼攻击。 与借口一样，网络钓鱼是一种社会工程形式。 一旦黑客获得了对您帐户的访问权限，他们就可以使用它从系统内部查找漏洞。
零日攻击如何损害您的 WordPress 网站
资源： WpScan
当一群黑客发现您的软件或 WordPress 网站存在缺陷时，他们可以编写非常具体的恶意代码来利用安全漏洞。 不幸的是，这些漏洞对于外行来说通常并不明显。 然后，他们将此代码打包到恶意软件或恶意软件中。 这被称为零日漏洞利用。
最终目标是利用零日漏洞访问系统并以从未打算使用的方式使用它。 这可以包括：
- 通过恶意软件破坏站点文件
- 从客户和管理员那里窃取重要数据
- 向您的客户、订阅者或读者发送垃圾邮件
- 安装窃取重要信息并泄露信息的软件
站点所有者需要防止零日漏洞攻击，因为不这样做的后果可能对他们的组织或业务造成毁灭性的影响。 幸运的是，您可以遵循最佳实践来阻止此类攻击在大多数情况下发生。
零日漏洞利用市场内部
零日漏洞很少见，并且像所有稀有商品一样，它们存在市场。 零日漏洞代码可以买卖，这些代码引起了黑客、政府当局、其他品牌和军事情报机构的兴趣。 而且，虽然一些道德黑客可能会在软件或 WordPress 网站中寻找零日漏洞并自愿提醒开发人员注意软件漏洞，但这些人仍在寻求金钱收益。
一般来说，零日漏洞利用市场可以分为三类。 这些是：
- 黑市。 这包括交易开发代码的地下市场。
- 灰色市场。 当黑客向政府、军方或情报机构出售零日漏洞利用代码以利用它们进行监视时。
- 白市。 这是指所有发现并与软件供应商共享零日漏洞以帮助解决安全问题的研究人员和道德黑客。 这通常是最道德的群体。
如何保护您的 WordPress 网站免受零日攻击
现在，如果您是任何 WordPress 网站的所有者，您可能想知道如何保护您的网站免受恶意行为者和严重的零日威胁的利用。
作为网站所有者，您可以采取几个步骤（即使您不是很精通技术）来增强您的网站安全性。 让我们来看看其中的一些：
1. 使 WordPress 核心和插件保持最新
使您的 WordPress 核心和插件保持最新是防止零日漏洞的最可靠方法之一。 当安全研究人员或黑客发现此类漏洞时，开发人员会争先恐后地发布补丁。 确保您拥有最新版本的软件通常意味着您可以修补漏洞并保持受到保护。
这是您可能想要打开自动更新的原因之一（尤其是对于 WordPress 核心）。 自动更新现在将自动下载并安装其核心软件的最新版本，并包括所有安全更新，而不仅仅是主要版本。 还建议您为 WordPress 插件和主题设置自动更新。
此外，如果您有 创建了自己的 WordPress 插件，您可能需要仔细检查以确保它定期安全。
2.禁用旧主题或插件
尽管 WordPress 核心不能免受零日攻击，但主题和插件通常是最容易受到攻击的。
根据 最近的统计数据，大约 17% 的 WordPress 漏洞来自易受攻击的插件，大约 3% 来自 WordPress 主题漏洞（但是，由于必须考虑多个版本的 WordPress，这些数字可能会被夸大）。
无论哪种方式，谢天谢地，防止对主题和插件的攻击相对容易。
无需等待补丁，您可以删除主题或插件，直到补丁发布。 单独禁用它们并不总能保护您免受安全风险，因为您仍然可能面临来自停用插件和主题的敏感文件的安全风险。
当然，这取决于您的企业是否能够在没有上述插件的情况下暂时运营。 有时，您可能会被迫暂时使用易受攻击的插件（例如，如果您正在使用一些重要的东西——比如 语言切换插件 或辅助功能插件）。
3. 使用插件发现可疑活动
有几种 WordPress安全插件 可帮助您查找和识别可疑活动。 一个很好的选择是 WordPress 活动日志，它可以跟踪任何活动的详细变化并维护您的网站安全。
使用 VPN 也是加密所有私人数据的好方法，以避免被恶意攻击者利用和使用您的数据。 一个好的 VPN 还可以阻止恶意网络钓鱼网站并确保您的安全。
您还可以使用 WordFence Security 等活动插件来检查您网站的核心文件、主题和插件是否存在恶意软件。 它还通过寻找代码注入和恶意重定向来密切关注潜在的零日漏洞。
但是，WordFence Security 需要置于学习模式以收集至少一周的数据，以防止误报。 这确保了它不会意外地将合法行为标记为可疑。
4.获取防火墙
防火墙是数字墙，充当系统与外部世界之间的屏障。 为了让黑客利用您的系统，他们必须首先突破防火墙。 因此，防火墙为您的 WordPress 网站增加了一层额外的保护。
有多种类型的防火墙可供选择，例如用于保护您的操作系统的个人防火墙、数据包过滤、有状态、Web 应用程序防火墙、下一代 (NGFW) 防火墙等。
如果发现漏洞，如果您的安全服务中包含防火墙，您仍然可以阻止攻击。 具体来说，您可以借助合适的防火墙阻止一些最常见的攻击（例如结构化查询语言 (SQL) 注入和跨站点脚本 (XSS) 攻击）。
5. 采用网络安全行为
确保您遵循最佳实践并采用仅网络安全行为的政策是避免不必要地让自己处于危险之中的好方法。 安全行业通常有您应该遵循的最佳实践。 让我们来看看其中的一些：
- 如果你想添加一个 安全二维码生成器、主屏幕标注或构建 Windows 动态磁贴，请务必仔细检查以确保其网络安全。 这些往往是脆弱的。
- 避免点击未知链接并转到有问题的页面。
- 不要从未知的发布者那里下载数据文件，无论它多么诱人（这些数据无论如何都不太可能帮助你，因为你 无法验证其质量）。
- 始终确保您选择遵循软件供应商建议的最佳 WordPress 安全设置。
- 在您的网站上添加“联系我们”表单等元素时，请使用信誉良好的 WordPress表单制作者 像 WPForms 并考虑如何仔细设计表单以防止模糊。
此外，如果您使用提供安全托管服务提供商的托管 WordPress 托管公司，请务必阅读托管公司及其安全标准。
6. 注意与 WordPress 相关的披露
最后，始终让自己了解最新的安全新闻和安全软件是一个好主意。 您始终可以阅读有关最近被黑客入侵的网站和被利用的漏洞的信息。
此外，加入披露邮件列表并注意插件/主题/软件供应商的披露。 或关注与 WordPress 相关的新闻媒体，例如 WPTavern. 这也是一个好主意 跟踪错误 有人可能会利用。
请记住，为了保证大多数用户的安全，供应商通常不得不推迟宣布漏洞的存在，直到他们创建了补丁。 虽然这有助于最大限度地减少攻击次数，但这也意味着您将使用不安全的软件，这会使您容易受到攻击。 保持警惕，并立即向供应商报告任何可疑情况。
零日漏洞利用证明您的 WordPress 网站
虽然可能并不总是可以完全消除零日漏洞的可能性，但您当然可以做很多事情而不是等待。
使零日漏洞攻击难以处理的原因在于，由于供应商尚未始终发现这些漏洞，因此并非总是有立即可用的解决方案。 但是，通过遵循本指南中提到的所有内容，您应该拥有足够的知识来管理您的 WordPress 网站，直到补丁成功发布。
即使没有发现漏洞，本文中概述的指南也应该为您提供最佳实践，以确保您的网站安全。