為什麼 WordPress 網站會被黑客入侵？

為什麼有人想入侵您的企業網站？ 電影導演可能讓它看起來令人興奮，但實際上這一切都是關於預測人類習慣、發現機會和純粹的堅持。 了解黑客的想法，以及如何保護您的業務。

WordPress 是市場領導者

毫無疑問，WordPress 是最受歡迎的網站內容管理系統 (CMS)，佔 CMS 市場份額的 59%，令人印象深刻。 它也是構建網站最流行的框架之一，互聯網上近三分之一的網站都是使用它構建的。

來源： https : //w3techs.com/technologies/overview/content_management/allWordp

這種流行也使 WordPress 成為黑客和其他惡意用戶的主要目標平台。 我們每天遇到的一個常見問題是“為什麼有人想要訪問我的網站？ 我沒有對他們有價值的數據”。 雖然這絕對是一個可以理解的聲明，但使用網絡訪問是錯誤的心態。

一個不幸的統計數據是，互聯網嚴重缺乏消息靈通的用戶，全球只有大約 25% 的用戶能夠完成中到高難度的任務。 這使得大量用戶容易受到少數技術熟練用戶的濫用。

在這篇文章中，我們將介紹一些最常見的網站遭到入侵的方法、網站被黑客入侵的一些原因以及用戶可以採取哪些措施來保護自己。

網站是如何被黑的？

當有人聽到“黑客”這個詞時，最常見的圖像可能是一個戴著頭巾的​​人在顯示器前的黑暗房間裡，他的屏幕上有大量的代碼行。 然而，（可悲的）事實是，日常黑客攻擊並沒有那麼有趣。 事實上，最常見的 hack 本質上都非常簡單，嘗試 hack 的人甚至不需要非常精通。

並非所有類型的黑客攻擊都源​​於代碼。 社會工程學（也稱為社交黑客）攻擊仍然是最具威脅性的攻擊之一。 常見的詐騙做法仍然適用於互聯網，並可能導致您的網站被黑客入侵。 由於這超出了本文的範圍，您可以在此tripwire 文章中閱讀有關社會工程威脅的更多信息。

撇開社會工程學不談，互聯網對網站來說仍然是一個不友好的地方。 Wordfence 是領先的 WordPress 安全插件開發商，每月發布WordPress 攻擊報告。 從9 月份的報告中我們可以看到，大多數 (91%) 的攻擊實際上是蠻力攻擊。

蠻力攻擊是一個非常簡單的概念。 任何人都可以嘗試，通常不會有任何影響。 就此而言，我們為什麼不立即發起暴力攻擊？ 只需谷歌您競爭對手的網站，然後嘗試將 /wp-admin 放在其 URL 的末尾。 如果幸運的話，他們正在使用 WordPress 網站。 您現在需要做的就是將“admin”作為用戶名或您知道他們常用的電子郵件地址，即“[email protected]”。 然後想想他們會用什麼作為他們的密碼：他們的名字、他們的產品、重要的日期……並不斷嘗試組合。 您實際上是在開始蠻力攻擊。 現在想像一下，如果您可以訪問單詞詞彙表和腳本，該腳本會自動嘗試使用不同的用戶名和密碼組合進行登錄。 以這種方式破解不安全帳戶的可能性很高。

排除了最簡單的攻擊形式，現在是時候調查一種更複雜的攻擊，它試圖利用您網站文件中的常見弱點。 正如你們許多人可能已經知道的那樣，一個 WordPress 網站有許多它依賴的主題和插件文件。 這些通常也依賴於其他開發人員編寫的代碼庫。 有時——部分是因為代碼質量差，部分是因為黑客領域的創新——可以找到漏洞利用。

希望有道德的人，也就是俗稱的白帽黑客，是發現漏洞的人。 通常，在道德黑客發現漏洞之後，代碼的所有者就會意識到，他們讓公眾意識到減輕任何潛在的損害，然後代碼的所有者發布補丁來修復漏洞。 如果惡意黑客遇到漏洞利用，則可能需要數月或數年才能將其公之於眾。 在任何情況下，漏洞是由後知道的，被添加到漏洞列表，是在對這樣一個網站在互聯網方便。

還有直接針對服務器的攻擊。 這是一個非常複雜和廣泛的問題，這篇文章不會詳細介紹。 但是，如果您想了解更多信息，這裡有一篇有趣的文章： How to Hack a Web Server 。

為什麼網站會被黑客入侵？

我們現在已經探索了網站被黑客入侵的一些方式，但為什麼它被黑客入侵的問題仍然在很大程度上沒有得到解答。 不幸的是，惡意用戶會以您的網站為目標的原因有很多，從純粹的無聊到在整個互聯網上傳播病毒和非法媒體。

由於純粹的無聊雖然是真正的原因，但非常簡單，所以我們將轉向一個更複雜的問題：廣告。 眾所周知，有很多方法可以成為廣告注入攻擊的受害者。 這個概念很簡單：您在一個真正的網站上分發通常帶有惡意的廣告，從而為您自己的網站帶來更多流量。 這可以採取簡單地在站點上顯示廣告的形式，或者在極端情況下，將所有流量重定向到黑客的站點。 然後，這些廣告可能包含導致控制用戶機器或敏感數據的惡意代碼。

黑客入侵網站的另一個常見原因可能是簡單地將其作為黑客行動主義的一部分進行破壞。 此類攻擊的原因與實施這些攻擊的團體一樣各不相同。 我們有很多關於“匿名”破壞他們不同意的人的網站的報告，甚至ISIS 也部署了相同的技術。

不幸的是，並非所有黑客都是可見的，有些可能非常微妙且難以追踪。 例如，如果您將 WordPress 網站用作電子商店，您可能會存儲客戶的信用卡詳細信息或個人信息。 這對任何黑客來說都是非常有價值的，他們很有可能不會讓他們知道自己的存在，因此他們可以繼續利用這些信息。 此外，由於黑客入侵網站所獲得的金錢收益可能相當可觀，我們甚至會遇到被黑客入侵僅用於挖掘比特幣等加密貨幣的網站。

如何保護我的網站？

儘管惡意用戶使用的所有漏洞利用程序看起來勢不可擋，但作為合法用戶，您可以採取一些基本步驟來保護您的網站。 這是您可以使用的簡單安全檢查表：

• 確保您的密碼安全：始終使用強密碼並將其保存在安全的地方。 不要在多個站點上使用相同的密碼。 每兩個月左右更新一次您的密碼。

• 切勿將管理員或公開可用的電子郵件用於您的管理員帳戶

• 使您的網站保持最新狀態：如上所述，已知漏洞已公開。 如果您的網站使用的是過時的、易受攻擊的插件或主題版本，則您將面臨風險。

• 使用信譽良好的託管公司：共享託管和由不負責任的公司提供的託管可能會導致您的網站被黑客入侵，因為同一服務器上的另一個網站遭到入侵。

• 只向您可以信任的用戶授予訪問權限：不要將您的網站的訪問權限授予不需要它或您不完全信任的用戶。 不是每個人都需要成為管理員。

• 使用安全插件：類似於計算機的防病毒程序，WordPress 也有安全插件。 其中兩個主要的是Sucuri和Wordfence 。

• 問：如果您有安全問題或對您的網站有疑問，請諮詢您的開發人員。

在本文中，我們調查了網站可能被入侵的一些常見方法和原因。 希望有了這些信息，連同安全檢查表，黑客將不再是互聯網上永遠存在的萬能威脅。

保持安全，保持知情！

如果您在 WordPress 設計和開發方面需要幫助，請隨時與我們聯繫。