恶意软件和 WordPress——保持清洁
已发表: 2020-08-25
“恶意软件”一词是“恶意”和“软件”这两个词的缩写和合并，表示它是故意设计用于造成损害、犯罪或破坏系统正常运行的软件。 在计算机的早期，恶意软件通常被创建为一个笑话或作为在其他计算机爱好者中获得声誉的一种方式。 尽管情况仍然如此，但绝大多数现代恶意软件都是由犯罪分子创建的，他们热衷于将互联网作为促进其企业发展的媒介。
恶意软件对 WordPress 有什么影响？
针对 WordPress 的攻击种类繁多，使用恶意软件，但它们分为以下几节中描述的类别。
恶意重定向
恶意重定向是指恶意软件重写您网站的页面，自动将访问者重定向到他们选择的网站。 目标网站可能有更多的恶意软件，它会试图感染访问者、向他们出售一些东西，或者只是增加犯罪分子的广告收入。 当黑客入侵 WordPress 实例时，这种感染是黑客相当普遍的目标。 他们对您的观众感兴趣并操纵他们以获得收益，而不是服务器本身的任何东西。
未经授权的下载
当受恶意软件入侵的 WordPress 站点操纵访问浏览器下载恶意负载时，会发生未经授权的下载，而不会通知或警告用户。 这种类型的未经授权的下载通常被称为“偷渡式下载”，因为用户只需随意访问或“偷偷摸摸”恶意页面即可获得入侵，而无需单击任何内容。
黑客最常用的设置方法是利用 Java 从攻击者控制的服务器下载恶意负载。 该有效负载将探测用户的浏览器和主机系统，以试图发现一个漏洞，该漏洞将允许攻击者执行任何操作，从在操作系统中安装病毒到在浏览器中显示弹出窗口。
后门
软件后门是攻击者创建系统的秘密和持久入口的一种方式。 对于 WordPress，恶意软件将通过注册一个具有管理员权限的新的、听起来合法的 WordPress 用户帐户来创建后门。 这正是 2019 年底发生的情况，当时几个过时的插件被利用，黑客可以创建管理员帐户。 这些旧版本的插件安装了超过 3000 万个 WordPress 实例。
搜索引擎优化垃圾邮件
如果您的 WordPress 实例被感染，那么这种类型的恶意软件可能很难被发现。 这是因为它不会对您网站的外观进行任何更改或将访问者重定向到任何地方。 黑客的目标是谷歌和其他搜索引擎，而不是访问者。 他们有时只会将修改后的页面提供给搜索引擎索引器，而不提供给真正访问您网站的人，这使得它们更难被发现。
此恶意软件会修改搜索引擎在其列表中显示您的网站时使用的网页的元信息。 搜索引擎将使用黑客网站的广告而不是您的网站描述来填充您的排名描述。
如果搜索引擎将您网站上的此类内容编入索引，则会降低您网站的排名。 此外，任何使用搜索引擎搜索您网站的人都会发现非常混乱的信息，并且很可能不会点击进入您的网站。
由于这种黑客推动的产品类型，它有时被称为“制药黑客”甚至是“伟哥黑客”！
恶意软件如何进入 WordPress？
以下将恶意软件放置到 WordPress 网站上的方法都是普遍且积极地用于危害网站的方法。
复活节彩蛋
这种恶意软件类型的攻击性最低，但仍然会给您的 WordPress 实例带来严重的安全问题。 在软件世界中，复活节彩蛋是一段代码，它被隐藏并经常在软件内部混淆（难以阅读）。 复活节彩蛋代码通常会做一些无辜的事情，例如在输入某些不寻常的输入时显示消息或显示图像。 虽然有时它可以让您在 Microsoft Excel 97 中玩飞行模拟器！
复活节彩蛋的意图通常是无辜的和开玩笑的。 毕竟，如果不是，它们将是本文中的不同类别！ 但是，这并不意味着它们不会对您的 WordPress 实例造成伤害并对您的客户产生负面影响。 复活节彩蛋通常不会故意包含在专业插件或主题中，因此它代表着成为未经审计的代码的风险，很容易产生意想不到的破坏性后果。 此外，复活节彩蛋可能会向您的网站访问者显示奇怪或不恰当的信息，这些信息充其量是令人困惑的，最坏的情况可能会使您的用户因担心您受到损害而离开。
过时的软件
这是迄今为止最常用的破坏 WordPress 实例的方法。 以下是您必须确保在服务器上始终保持最新的所有软件类别的列表：
- 操作系统
- WordPress核心安装
- 主题
- 插件
您可以在我们的“保持安全并让您的 WordPress 保持最新”文章中了解更多关于保持 WordPress 最新的信息。
SQL 注入
SQL 注入攻击是恶意制作的 Web 请求读取或操作 WordPress 数据库的地方。 如果此攻击成功，那么几乎任何事情都可能发生，从创建新的管理员登录名、窃取信用卡详细信息到修改页面内容。 您可以使用 Web 应用程序防火墙来防范此类攻击，Rocket Protect Your WordPress Site With a Website Firewall 指南中对此进行了说明。
文件上传
WordPress 有一个名为/uploads/的特殊目录，例如https://www.example.com/uploads/ ，它是上传到 WordPress 实例的文件的目标文件夹。 如果原始安装程序或通过粗心的系统管理使该目录处于不安全状态，则它成为黑客放置恶意软件的容易位置。
上传到/uploads/的文件可能会感染同一个 WordPress 实例。 如果为该目录启用了 PHP 的执行，则情况非常普遍。 或者，在文件位于您的站点后，黑客可以将其用作下载位置，以攻击其他系统。
受损或不安全的登录凭据
您的 WordPress 实例的用户名和密码是王国的钥匙。 您必须将它们安全地存储在您保存它们的任何系统上。 如果黑客登录了您的 WordPress 网站，那么他们就可以加载他们想要的任何恶意软件。 这种访问级别意味着恢复几乎是不可能的，从备份中恢复是唯一的选择。
如果您还没有，您应该为所有密码使用密码管理器。 它们允许您创建长而安全的密码，因为您不必记住它们。 维基百科在这里有一个密码管理器列表，其中许多是开源和免费的。
我能做些什么？
保持 WordPress 实例的安全可能需要大量工作，但这些是您应该集中精力的领域。
更新一切！
说真的，如果你从这篇文章中学到的一件事是你必须保持一切更新。 您可以通过 WordPress 更新指南找到有关使 WordPress 和您的服务器保持最新的所有信息。
恶意软件扫描
上面列出的每一个恶意软件变种要么将文件放在您的 WordPress 网站上，要么以某种方式对其进行修改。 恶意软件扫描程序可以检测到这些更改，其工作方式与笔记本电脑上的病毒扫描程序类似。 有许多免费和付费选项可用作 WordPress 插件，但它们都需要工作和管理才能保持最佳配置。
火箭解决方案
一个较少涉及的解决方案是使用像 Rocket 托管这样的托管托管解决方案。 当您从 Rocket 订购 WordPress 实例时，无论是哪一层，它都将提供 24/7/365 的安全性，包括全面的恶意软件扫描。 您无需花时间担心您的恶意软件扫描程序。 让专家为您做这件事，而不是花时间让您的 WordPress 网站变得像您想象的那样棒！
随时了解情况
WordPress 组织有多个渠道，他们将在其中发布有关 WordPress 更新、安全新闻和其他有用信息的信息。 选择最适合您的数字生活的一个，并密切关注您的提要：
- 推特
- WordPress 博客
- 电子邮件
保持合法
有时，尤其是在测试和开发时，会很想去互联网上一些不太合法的角落，下载通常要花钱的插件或主题。 不幸的是，这些插件通常带有后门的额外好处，并且会感染您的 WordPress 网站。 即使您稍后删除插件，损坏也已完成，如果您感染了生产实例，修复将非常困难且昂贵。 保持合法并保持安全。