自2013年4月以來，已經有數種大規模的WordPress wp-login.php蠻力攻擊，這些攻擊來自遍布全球的大量受害IP地址。
我們首先從此頁面開始，當時有大約90,000個受感染伺服器的大型殭屍網路試圖通過不斷嘗試猜測用戶名和密碼來進入WordPress管理儀錶板，從而闖入WordPress網站。
您可以快速查看WordPress登錄嘗試，以查看您的網站最近是否受到攻擊。
通用WordPress暴力保護
請注意–在添加和刪除插件或進行一般更改之前，您應該使用信譽良好的插件備份WordPress。
儘管我們強烈建議為WordPress實施儘可能多的安全解決方案，但以下指南將是保護自己和WordPress網站免受進一步攻擊的重要第一步。
- 建議的10個步驟來鎖定和保護WordPress（本指南的底部）
- 設置輔助WordPress管理員密碼
- 使用iThemes安全插件更改WordPress管理URL
- 通過IP地址限制WordPress管理員登錄
InMotion Hosting的防禦計劃
我們的高級系統管理團隊已制定了整個車隊的安全策略，以幫助遏制這些攻擊。
我們積極保護客戶，以阻止進一步的攻擊蔓延。這些惡意殭屍程序試圖闖入一個WordPress網站，然後將其用作殭屍網路的一部分，開始攻擊其他站點。
建議的10個步驟來鎖定和保護WordPress
1.使用強密碼
最低密碼建議：
- 總共至少8個字元
- 大寫和小寫字母的混合
- 數字，標點符號或其他非字母數字字元
弱密碼示例： secret1
改進的強密碼： Z＃hupsZ2M4！Z
看看如何通過簡單的步驟創建安全的WordPress管理員密碼。
2.更改默認的WordPress管理員用戶名
安裝WordPress時，默認情況下，管理員用戶的用戶名為admin。
殭屍網路攻擊當前僅針對此默認用戶名，因此，即使管理員用戶名為admin123，也可以大大降低惡意用戶成功登錄您的站點的可能性。
3.使用.htaccess鎖定WordPress管理員訪問許可權
使用WordPress蠻力插件進行這種攻擊的效率不是很高，在某些情況下，由於用於挑戰每個惡意登錄嘗試的大量處理能力，實際上可能導致您的站點不可用。
設置二級密碼以防止未經授權的WordPress wp-admin和wp-login.php嘗試。
或者，您可以依靠.htaccess限制WordPress管理員訪問的信息。
4.暫時禁用佔用大量CPU資源的登錄限制插件
用.htaccess規則阻止此攻擊是首選方法，因為登錄限制插件不僅會引發觸發我們自己的內部安全規則的問題，而且在這種大規模攻擊中也將無效。
5.掃描網站上的黑客，檢查Google安全瀏覽
如果您的WordPress網站已成功遭到入侵，則通常可以通過對該網站的表面安全掃描來找到明確的指示，或者也可以將其報告給Google的安全瀏覽。
通過https://transparencyreport.google.com/safe-browsing/search檢查Google對您域的安全瀏覽
6.設置CloudFlare DNS級別保護
由於這種殭屍網路攻擊的規模很大，CloudFlare已為其所有免費帳戶提供了針對此攻擊的DNS級別過濾。
如果您有很多WordPress站點，則可能不是一個理想的解決方案，因為必須更新每個域的名稱伺服器，然後通常等待24-36小時進行DNS傳播。單個站點所有者可能會從這種保護中受益匪淺，這種保護應該阻止殭屍網路請求，甚至首先將其發送到伺服器。
7.備份WordPress
此時，以防萬一，備份WordPress可能是一個好主意。這樣，隨著攻擊的繼續進行，您可以確保在出現問題時總是有一個很好的還原點。
備份資料
- 在cPanel中備份您的網站文件
- 在cPanel中備份資料庫
恢複數據
- 在cPanel中還原您的網站文件
- 在cPanel中還原資料庫
8.更新所有WordPress
為了保護自己免受WordPress的已知攻擊，您應該更新與WordPress相關的所有內容：
進行必要的更新：
- 從管理儀錶盤更新WordPress
- 更新WordPress主題
- 更新WordPress插件
9.清理黑客
如果您的網站是黑客的受害者，那麼您可以按照我的指南進行操作，以了解如何在黑客入侵後重新安裝WordPress，以獲取清理和重新營業的步驟。
希望您的WordPress網站現在應該被鎖定並安全，這應該有助於防止我們自己的內部安全規則阻止您自己對WordPress管理員的訪問。