惡意軟件和 WordPress——保持清潔
已發表: 2020-08-25
“惡意軟件”一詞是“惡意”和“軟件”這兩個詞的縮寫和合併，表示它是故意設計用於造成損害、犯罪或破壞系統正常運行的軟件。 在計算機的早期，惡意軟件通常被創建為一個笑話或作為在其他計算機愛好者中獲得聲譽的一種方式。 儘管情況仍然如此，但絕大多數現代惡意軟件都是由犯罪分子創建的，他們熱衷於將互聯網作為促進其企業發展的媒介。
惡意軟件對 WordPress 有什麼影響？
針對 WordPress 的攻擊種類繁多，使用惡意軟件，但它們分為以下幾節中描述的類別。
惡意重定向
惡意重定向是指惡意軟件重寫您網站的頁面，自動將訪問者重定向到他們選擇的網站。 目標網站可能有更多的惡意軟件，它會試圖感染訪問者、向他們出售一些東西，或者只是增加犯罪分子的廣告收入。 當黑客入侵 WordPress 實例時，這種感染是黑客相當普遍的目標。 他們對您的觀眾感興趣並操縱他們以獲得收益，而不是服務器本身的任何東西。
未經授權的下載
當受惡意軟件入侵的 WordPress 站點操縱訪問瀏覽器下載惡意負載時，會發生未經授權的下載，而不會通知或警告用戶。 這種類型的未經授權的下載通常被稱為“偷渡式下載”，因為用戶只需隨意訪問或“偷渡”惡意頁面即可被入侵，而無需單擊任何內容。
黑客最常用的設置方法是利用 Java 從攻擊者控制的服務器下載惡意負載。 該有效負載將探測用戶的瀏覽器和主機系統，以試圖發現一個漏洞，該漏洞將允許攻擊者執行任何操作，從在操作系統中安裝病毒到在瀏覽器中顯示彈出窗口。
後門
軟件後門是攻擊者創建系統的秘密和持久入口的一種方式。 對於 WordPress，惡意軟件將通過註冊一個具有管理員權限的新的、聽起來合法的 WordPress 用戶帳戶來創建後門。 這正是 2019 年底發生的情況，當時幾個過時的插件被利用，黑客可以創建管理員帳戶。 這些舊版本的插件安裝了超過 3000 萬個 WordPress 實例。
搜索引擎優化垃圾郵件
如果您的 WordPress 實例被感染，那麼這種類型的惡意軟件可能很難被發現。 這是因為它不會對您網站的外觀進行任何更改或將訪問者重定向到任何地方。 黑客的目標是谷歌和其他搜索引擎，而不是訪問者。 他們有時只會將修改後的頁面提供給搜索引擎索引器，而不提供給真正訪問您網站的人，這使得它們更難被發現。
此惡意軟件會修改搜索引擎在其列表中顯示您的網站時使用的網頁的元信息。 搜索引擎將使用黑客網站的廣告而不是您的網站描述來填充您的排名描述。
如果搜索引擎將您網站上的此類內容編入索引，則會降低您網站的排名。 此外，任何使用搜索引擎搜索您網站的人都會發現非常混亂的信息，並且很可能不會點擊進入您的網站。
由於這種黑客推動的產品類型，它有時被稱為“製藥黑客”甚至是“偉哥黑客”！
惡意軟件如何進入 WordPress？
以下將惡意軟件放置到 WordPress 網站上的方法都是普遍且積極地用於危害網站的方法。
復活節彩蛋
這種惡意軟件類型的攻擊性最低，但仍然會給您的 WordPress 實例帶來嚴重的安全問題。 在軟件世界中，復活節彩蛋是一段代碼，它被隱藏並經常在軟件內部混淆（難以閱讀）。 復活節彩蛋代碼通常會做一些無辜的事情，例如在輸入某些不尋常的輸入時顯示消息或顯示圖像。 雖然有時它可以讓您在 Microsoft Excel 97 中玩飛行模擬器！
復活節彩蛋的意圖通常是無辜的和開玩笑的。 畢竟，如果不是，它們將是本文中的不同類別！ 但是，這並不意味著它們不會對您的 WordPress 實例造成傷害並對您的客戶產生負面影響。 復活節彩蛋通常不會故意包含在專業插件或主題中，因此它代表著成為未經審計的代碼的風險，很容易產生意想不到的破壞性後果。 此外，復活節彩蛋可能會向您的網站訪問者顯示奇怪或不恰當的信息，這充其量是令人困惑的，最壞的情況可能會使您的用戶因擔心您受到損害而離開。
過時的軟件
這是迄今為止最常用的破壞 WordPress 實例的方法。 以下是您必須確保在服務器上始終保持最新的所有軟件類別的列表：
- 操作系統
- WordPress核心安裝
- 主題
- 插件
您可以在我們的“保持安全並讓您的 WordPress 保持最新”文章中了解更多關於保持 WordPress 最新的信息。
SQL 注入
SQL 注入攻擊是惡意製作的 Web 請求讀取或操作 WordPress 數據庫的地方。 如果此攻擊成功，那麼幾乎任何事情都可能發生，從創建新的管理員登錄名、竊取信用卡詳細信息到修改頁面內容。 您可以使用 Web 應用程序防火牆來防範此類攻擊，Rocket Protect Your WordPress Site With a Website Firewall 指南中對此進行了說明。
文件上傳
WordPress 有一個名為/uploads/的特殊目錄，例如https://www.example.com/uploads/ ，它是上傳到 WordPress 實例的文件的目標文件夾。 如果原始安裝程序或通過粗心的系統管理使該目錄處於不安全狀態，則它成為黑客放置惡意軟件的容易位置。
上傳到/uploads/的文件可能會感染同一個 WordPress 實例。 如果為該目錄啟用了 PHP 的執行，則情況非常普遍。 或者，在文件位於您的站點後，黑客可以將其用作下載位置，以攻擊其他系統。
受損或不安全的登錄憑據
您的 WordPress 實例的用戶名和密碼是王國的鑰匙。 您必須將它們安全地存儲在您保存它們的任何系統上。 如果黑客登錄了您的 WordPress 網站，那麼他們就可以加載他們想要的任何惡意軟件。 這種訪問級別意味著恢復幾乎是不可能的，從備份中恢復是唯一的選擇。
如果您還沒有，您應該為所有密碼使用密碼管理器。 它們允許您創建長而安全的密碼，因為您不必記住它們。 維基百科在這裡有一個密碼管理器列表，其中許多是開源和免費的。
我能做些什麼？
保持 WordPress 實例的安全可能需要大量工作，但這些是您應該集中精力的領域。
更新一切！
說真的，如果你從這篇文章中學到的一件事是你必須保持一切更新。 您可以通過 WordPress 更新指南找到有關使 WordPress 和您的服務器保持最新的所有信息。
惡意軟件掃描
上面列出的每一個惡意軟件變種要么將文件放在您的 WordPress 網站上，要么以某種方式對其進行修改。 惡意軟件掃描程序可以檢測到這些更改，其工作方式與筆記本電腦上的病毒掃描程序類似。 有許多免費和付費選項可用作 WordPress 插件，但它們都需要工作和管理才能保持最佳配置。
火箭解決方案
一個較少涉及的解決方案是使用像 Rocket 託管這樣的託管託管解決方案。 當您從 Rocket 訂購 WordPress 實例時，無論是哪一層，它都將提供 24/7/365 的安全性，包括全面的惡意軟件掃描。 您無需花時間擔心您的惡意軟件掃描程序。 讓專家為您做這件事，而不是花時間讓您的 WordPress 網站變得像您想像的那樣棒！
隨時了解情況
WordPress 組織有多個渠道，他們將在其中發布有關 WordPress 更新、安全新聞和其他有用信息的信息。 選擇最適合您的數字生活的一個，並密切關注您的提要：
- 推特
- WordPress 博客
- 電子郵件
保持合法
有時，尤其是在測試和開發時，會很想去互聯網上一些不太合法的角落，下載通常要花錢的插件或主題。 不幸的是，這些插件通常帶有後門的額外好處，並且會感染您的 WordPress 網站。 即使您稍後刪除插件，損壞也已完成，如果您感染了生產實例，修復將非常困難且昂貴。 保持合法並保持安全。