被污染的Wordpress帖子，如何防止它？

Question

我有一个简单的Wordpress网站，供当地健身俱乐部http://atanas-georgiev.com/使用。我最近决定检查它，看看是否有任何问题被打破，不幸的是它的帖子被恶意脚本劫持了，这些恶意脚本插入了一些链接<a>标签，这些标签将用户转发到差异网站。
我已经保存了脚本，然后删除它们。这是它们 https://gist.github.com/AdelinGhanaem/56db49f8d24e6f7f04c6

1. 我想知道这会怎么样？
2. 如何通过XSS攻击做到这一点？
3. 如何防止它再次发生？
4. 任何Wordpress插件的安全性？

Answer 1

如果您有VPS或专用服务器，请检查您的日志。希望有人可能在某处留下了指纹。或者如果您使用的是共享主机，那么您可以让他们为您调查。

大多数情况下，这可以通过在字典中找到的弱密码来实现。只需按照以下步骤操作任何新的wordpress项目，您将来会节省很多麻烦。

1. 使用强密码（无法在字典中找到 大写，阿尔法数字和特殊字符）
2. 始终删除管理员用户，并使用其他用户创建新的管理员帐户 用户名。 （通过选择admin作为用户名，50％的努力是 因为他现在只需要猜测密码而减少了）
3. 始终将wordpress db表格前缀重命名为其他内容。 （有一个原因，wordpress在安装时会为您提供此选项，因此您可以避免sql注入）
4. 如果您使用VPS始终不使用root帐户，请始终创建另一个用户并将其用于所有通信。如果可能的话，尝试使用sftp，除了user / pass之外，你还需要一个密钥文件。因此，任何人都很难掌握钥匙。
5. 始终从管理员中删除主题编辑功能。普通用户无论如何都不会使用它，如果有人访问管理员，他将无法对代码本身进行任何更改。
6. 尝试使用一个好的防火墙，比如wordfence pro，你可以获得支持和任何活动的报告。

Answer 2

如果仅在您的帖子中，如果他们想要发布到网站，可以考虑为访客提供验证码。

Wordpress非常容易受到此类攻击。你可以做很多事情来阻止这种情况。一些简单的提示：

1. 让Wordpress核心保持最新，对Wordpress的最小修改是安全更新。
2. 拥有支持Wordpress的体面托管服务。提供Wordpress安装的托管也有脚本可以阻止最常见的Wordpress攻击。
3. 如果你要插件：Wordfence＆amp; Askimet是受欢迎的插件，有助于提高安全性。
4. 不要在数据库中使用wp_前缀，而是将其更改为自定义内容。如果是自定义的话，黑客就必须猜测前缀。
5. 有关高级提示：https://premium.wpmudev.org/blog/keeping-wordpress-secure-the-ultimate-guide/本指南提供了有关安全性的深入指南

关于它如何发生的问题，上面的链接估计了：

• 41％的人因其托管安全漏洞遭到入侵 平台
• 29％的人在WordPress主题中遇到安全问题 他们正在使用
• 22％的人在WordPress中遇到安全问题 他们正在使用的插件
• 8％被黑客入侵，因为他们有弱势 密码