2024实用版WordPress安全漏洞排查清单 新手零门槛照搬可用

说真的，我前两年刚玩WordPress做站的时候，真把自己的站点当成了城中村没装门锁的小卖铺，今天被人挂黑链明天被跳博彩页，甚至有一次被黑客放了挖矿脚本，服务器卡到打开首页要30秒，前前后后踩了快十几万的坑（真的，当时给客户做的企业站被搞到被网信办警告，赔了违约金），才攒出来这份靠谱的WordPress安全漏洞排查清单，真的你照着捋一遍，比你装10个杂七杂八的野路子安全插件有用100倍。

先查「入户防盗门」：核心程序层漏洞排查

咱就把WordPress站点当成你开的小卖铺，核心程序就是你家的入户防盗门，你要是用的是2018年的老款破锁，黑客随便掏个万能钥匙就能开，不偷你偷谁？这部分是我这份WordPress安全漏洞排查清单里优先级最高的项，先搞这个准没错。

• 第一先查WordPress核心版本是否更新到最新稳定版

  别听网上瞎扯什么“新版不兼容老主题”，我手上维护着30多个各行业的WordPress站点，更了这么多版本真出兼容问题的概率比你买双色球中5块钱还低，实在怕你提前备份个全站包啊，多大点事？还有必须把WordPress版本号给藏了，不然就相当于你在自家防盗门上面贴个纸条“我家锁是2019款，有公开漏洞可破解”，黑客不扫你扫谁？把下面这段代码加到你当前主题的functions.php文件里就行： ```php // 隐藏WordPress前台版本号 remove_action('wp_head', 'wp_generator'); add_filter('the_generator', '__return_empty_string'); ```

• 第二给wp-admin、wp-includes目录加访问限制

  相当于你家楼道装个门禁，闲杂人等不许随便进，用Apache服务器的就往根目录的.htaccess文件加限制规则，用Nginx的就改配置文件，嫌麻烦的直接装个正经安全插件开一下这个功能就行，我去年有个小博客就是没加这个限制，被人暴力跑了三天密码，差点把后台给我破了。

再查「货架进货渠道」：主题插件层漏洞排查

你家门锁再结实，要是你进货的时候连带小偷一起拉进店里了，那啥防护都白搭，主题插件就是你进的货，来路不正的百分百带坑，这部分我在WordPress安全漏洞排查清单里标了红，新手最容易在这栽跟头。

• 第一件事把所有非官方渠道下载的破解版/Nulled主题插件全删了

  我知道你想省那几百块钱，我之前也省，399的付费主题我找了个破解版，省了钱没开心半个月，就发现黑客留的后门直接拿了我服务器权限，把我服务器上8个站全给删了，备份还存在同一服务器上，找都找不回来，赔客户赔了两万多，你说这是不是捡芝麻丢西瓜？真想要付费的要么攒钱买正版，要么找官方免费的平替，破解版真的碰都别碰。

• 第二查所有已安装的主题插件是否更新到最新版，没用的全卸载

  别装了插件就不管了，WordPress80%的公开漏洞都来自第三方插件，之前那个Contact Form 7的SQL注入漏洞、Yoast SEO的XSS漏洞，多少站点中招？你就定期点一下更新，花不了2分钟。还有那种半年都没用过的主题插件直接删，别留着占地方，就像你小卖铺堆一堆没用的纸箱子，小偷躲里面你都看不见。

再查「收银台保险箱」：权限与数据层漏洞排查

小卖铺的收银台钥匙你不可能随便给路过的陌生人吧？WordPress的权限也是一个道理，这部分是WordPress安全漏洞排查清单里最容易被忽略的，但80%的入侵都是从这钻的空子。

• 先捋一遍所有后台用户的权限，没用的账号全删

  管理员权限只给真正需要的人，别啥兼职编辑、外包设计师都给管理员权限，兼职的给编辑权限、设计师给模板编辑权限就够了，那种半年没登录过的僵尸账号直接删，指不定哪个账号的密码早就被社工库漏了，黑客拿着就登你后台。还有管理员用户名别用admin、test、administrator这种默认名，黑客暴力破解第一个试的就是这些，你起个“小卖铺张二狗”这种奇奇怪怪的用户名，破解难度直接翻100倍。

• 第二改数据库默认前缀，定期备份到非服务器空间

  刚装WordPress的时候默认数据库前缀是wp_，相当于你家保险箱密码写的是123456，黑客猜都不用猜，装的时候就改成别的，比如wp_ergou_啥的，已经装完的也可以用插件改，不难。还有备份别只存在服务器上，你服务器被黑了备份也没了，定期存到自己网盘、对象存储里，我一般是每周自动备份一次到阿里云OSS，真出问题分分钟就能恢复。

最后查「门口监控报警器」：日志与防护层漏洞排查

你家小卖铺总得装个监控吧？不然被偷了你都不知道是谁偷的，这部分是WordPress安全漏洞排查清单的最后一环，相当于给你加个双保险。

• 装个安全日志插件，开后台登录二次验证

  日志插件就用WP Security Audit Log就行，免费版完全够用，谁登了你后台、改了啥文件、发了啥文章全给你记的明明白白，有异常登录直接给你发邮件提醒，相当于监控主动给你发告警。二次验证必须开，就用TOTP的插件，手机装个谷歌验证器，每次登后台输个6位动态码，麻烦3秒，哪怕你密码漏了黑客也登不上，相当于你家门除了钥匙还有个指纹锁。

• 整个带防护的CDN，挡掉大部分恶意扫描

  小站点直接用Cloudflare免费版就行，不要钱，能挡90%的批量扫描、DDoS攻击，相当于你小卖铺门口雇了个免费保安，啥鬼鬼祟祟的人直接给你拦在外面，我现在所有站点都套了CDN，之前每天几百条恶意扫描日志，套完之后只剩个位数，清净的不行。

真的，我知道很多新手朋友做站总觉得“我这小站点没人惦记”，拉倒吧，现在黑客都是用脚本批量扫，管你大站小站，扫到有漏洞就搞，挂黑链、跳黄赌毒、放挖矿脚本，啥损事都干。这份WordPress安全漏洞排查清单我给身边不下30个做站的朋友都发过，照着做的到现在都没出过安全问题，真的你花半小时捋一遍，比你之后花三天找被删的数据、清被挂的黑链强一万倍。听哥一句劝，安全无小事，撸起袖子查，站点稳赚钱，奥利给！