wordpress账户防暴力破解攻击

一、修改数据库表前缀

默认的表前缀是wp_,如果你安装博客的时候没有修改,可以参考这篇文章修改下表前缀。

修改完登录测试下,如果登录成功后提示“您没有足够的权限访问该页面”,说明前缀没有修改完整,参照这篇文章搜索下剩下的,然后一个个手动修改即可。

二、去除wordpress特征

在当前主题(wp-contents/themes/xxx) functions.php 文件末尾添加以下代码去掉 WordPress 版本信息,减少被特征提取的机率。

remove_action( 'wp_head', 'wp_generator');

三、修改默认用户名admin

默认的用户名不要为 admin,通过一条 SQL 语句修改 admin 的用户名:

UPDATE xxx_users SET user_login = 'username' WHERE user_login = 'admin';

将xxx_users中的xxx替换为你第一步改的前缀。

四、保护wp-login.php

将下面的代码添加到当前主题的 functions.php 文件:

add_action('login_enqueue_scripts','login_protection');
function login_protection(){
	if($_GET['key'] !='pass')header('Location: /404.html');
}

这样一来,后台登录的唯一地址就是 http://hostname/wp-login.php?key=pass,如果不是这个地址,就会自动跳转到 404.html 页面。

建议修改上面的key pass为其他字符串,例如wp-login.php?zheshihoutaidizhi=hehehehehehehehehhhh,404.html也可以换为网站主页地址http://blog.b1uew01f.net/ http要带。

这时候,由于访问/wp-admin/时是跳转到wp-login.php进行登录的,经过上面的修改后,会再跳转到404.html页面,也启到一定的疑惑作用。

五、主机安全加固

wordpress博客只是主机中一个web应用,如果主机安全没有做好也是容易被攻击沦陷的,下面是我前面写的几篇关于配置安全linux服务器的文章,核心的思想就是:更改默认服务端口、增加防火墙判断,防止服务被暴力攻击。

标签: wordpress

添加新评论