黑客网站可以轻松利用 WordPress 网站上最微小的漏洞并劫持整个网站。这可能会通过窃取数据、发送垃圾邮件甚至破坏页面而造成严重损害。此外，如果您确定您的网站已受到严重破坏，它可能会使您的网站被 Google 列入黑名单。
这就是为什么保护您的网站免受黑客攻击和防止任何文件上传攻击应该是您的首要任务。采取诸如检查您的网站是否被黑客入侵等措施来提高您网站的整体安全性。
在这篇文章中，我们将深入探讨一些关于如何防止 WordPress 网站安全的文件上传漏洞的重要提示。
什么是文件上传漏洞？
总体而言，文件上传漏洞是当今 WordPress 网站面临的最常见的安全风险之一。
上传漏洞的主要形式有本地和远程。本地漏洞是指应用程序存在允许恶意用户上传和执行恶意文件的安全漏洞。同时，远程漏洞是指应用程序的用户输入被用于从 Internet 获取远程文件，然后将该文件存储在本地的情况。
本地文件上传漏洞的一个示例是最近的 Contact Form 7 漏洞，该漏洞是在 2020 年底发现的。Contact 7 是一个非常流行的 WordPress 插件，它使用户可以向一个站点添加多个不同的联系表单或博客。
不过发现了一个本地文件上传漏洞，假设插件开启了文件上传功能，黑客可以在5.3.1和任何旧版本的Form 7中上传恶意文件。幸运的是，（到目前为止) 任何运行最新版本的 WordPress 站点都免受 From 7 漏洞的影响）。
远程文件上传漏洞的一个例子是 TimThumb 漏洞，这是 2011 年到 2014 年的一个主要问题。TimThumb 是一个 PHP 脚本，通常用于调整 WordPress 网站上的图像大小。该漏洞允许网络犯罪分子使用插件将 PHP 文件上传到网站或博客，然后允许他们在网站上创建缩略图。每次请求缩略图文件时都可能执行恶意 PHP 代码。
本地和远程文件上传漏洞都是您网站的主要威胁，因为它们可以让黑客上传恶意软件、接管您的博客或网站、上传垃圾邮件或完全破坏您的网站。这些攻击不仅会损害您的商业声誉，还会造成巨大的经济损失。当您考虑到针对 SMB 的网络攻击的平均成本超过 235 万美元时，采取措施防范远程或本地文件上传漏洞等网络安全威胁应该更具吸引力。
考虑到这一点，您可以采取以下三项措施来更有效地保护您的网站免受文件上传漏洞的侵害。
1.始终运行最新版本的 WordPress
p> 网站所有者遇到黑客问题或常规网络攻击的最大原因之一是因为他们运行的是旧版本的 WordPress。通过尽可能将 WordPress 更新到最新版本，您可以使黑客更难渗透您的网站。
让您的 WordPress 网站保持最新是一个很好的一般经验法则，可以改善您网站的各个方面，例如速度。例如，加载时间多一秒可导致转化次数减少 7%、页面浏览量增加 11% 以及客户满意度提高 16%。
事实上，不将您的 WordPress 站点更新到最新版本只会损害您成功的机会并防止网络攻击。
每次发布新的 WordPress 更新时，都会修补漏洞并提高整体安全性。但是，运行旧版本的 WordPress 意味着您运行的是黑客已经习惯的版本。
网络攻击之所以会发生，是因为网络攻击的负责人花时间调查网站的弱点。不幸的是，并非所有这些弱点都是由于您在网站上安装的插件造成的。其中一些弱点完全不受您的控制，这就是 WordPress 不断推出新版本的原因。这些版本解决了您无法控制的弱点和修复，因此您无需担心网站的完整性。
2.更新插件和主题
作为将 WordPress 更新到最新版本后，您还需要确保更新所有插件或主题。过时的插件通常可以用作本地文件上传漏洞的方法。对于允许前端提交的联系表单、评论和其他插件尤其如此。
插件和主题开发人员花费大量时间检查他们的工作以确定是否存在安全风险。如果他们找到了，他们会通过更新来解决问题。通过保护与您网站相关的所有插件和主题，您可以大大降低文件上传漏洞的风险。
在对 1,386 个最流行的 WordPress 插件的研究中，发现 104 个在研究开始前不到一周收到了更新，而 244 个在不到一个月前收到了更新。开发人员一直在努力改进他们的插件，因此请充分利用这些更新。
除了更新您网站上的现有插件和主题外，您还可以通过检查审核日志来查看谁访问过您的网站，从而执行其他操作。如果您发现安全漏洞，这样做是最有效的策略之一，可帮助您识别黑客瞄准的插件以进一步保护您的网站。从那里，您可以完全删除插件，或者查看是否有更新程序可以解决问题，使问题变得更糟。
至于主题，更新它们也可以保护您的整体安全。另一个好处是，您甚至不必担心在大多数主题更新时丢失您的自定义设置。保护您的网站免受黑客攻击的最简单但最有效的方法之一就是尽可能更新您网站的各个方面。
3.安装顶级WordPress安全插件
插件是 WordPress 网站的特定漏洞区域。您是否知道在给定的一周内，每百个网站中就有一个最有可能感染恶意软件？主要原因是因为缺少安全插件。
WordPress 安全插件充当防火墙，以保护您网站上的其他插件并防止数据泄露的可能性。例如，Fence 包括一个内置防火墙，可以阻止恶意流量到达您的站点。您使用的插件中可能存在许多潜在漏洞，但如果黑客无法克服安全障碍，他们将永远无法利用这些漏洞。
一些插件提供扫描仪或清洁器等好处，可以在问题变得严重之前检测和预防问题。一个很好的例子是 MaliciousCare，它提供了一个强大的网站扫描器，不会降低您的网站速度。这些类型的安全插件可以完全自动化扫描和清理过程。因此，您可以高枕无忧，专注于运营您的网站，而不是花时间担心黑客。此外，请确保为您用来帮助运行 WordPress 网站的移动设备添加插件。这是许多新手网站所有者特别忽视的事情。每 39 秒就会发起一次新的移动设备攻击，这凸显了保护您使用的任何个人或企业移动设备的紧迫性。
对于桌面和移动设备，请注意不要安装低质量、过时的插件或具有重复功能的插件。例如，多个 SEO 插件弊大于利。这是因为每次你有一个新插件时，你都会发送新的数据库查询和 HTTPS 请求，这会影响你网站的速度和性能。所以一定要选择你想要下载的特定插件。确保每个新插件都能解决现有插件无法解决的特定问题。
WordPress 站点本身是相当安全的，但是安全插件可以充当您需要的额外缓冲区，将您的安全性提升到一个新的水平。毕竟，只要不影响网站的性能和用户体验，就没有太大的安全性。最值得注意的是，文件上传插件特别弱，但强大的安全插件可以在利用问题之前弥补这一缺陷。
网络上总会有黑客。网络攻击是一个永远存在的问题，但让您的 WordPress 网站保持最新可以减少这些攻击。幸运的是，您可以提高网站某些方面的安全性，例如添加一个 WooCommerce 插件，让您可以在网站运行时保护支付系统。文件上传是漏洞的一个特殊来源，但一些潜在的漏洞可以使用上述提示进行修补。
