暴力破解：在線和離線猜解的不同 – 安全牛

正在用Wordpress的博主們壹定知道最近全球興起的壹波黑客鎖定Wordpress暴力破解控制面板密碼的風波了，據CloudFlare執行長Matthew Prince所說，所謂的暴力密碼攻擊是輸入admin的使用名稱，然後嘗試輸入數千種密碼企圖登入。攻擊者首先掃描互聯網上的Wordpress網站，然後利用Web服務器組建的僵屍網絡不斷嘗試用戶名和密碼試圖登錄管理界面，攻擊者此次使用了超過9萬臺Web服務器，由於服務器比PC有更大的帶寬和連接速度，因此可以更快的發動攻擊。WordPress後臺登錄默認的名稱是admin，很多朋友在安裝了Wordpress後直接就用了admin這個作為管理員密碼，於是這給了壹些人可趁之機了。雖然WP的安全性已經足夠強，但是暴力破解即使失敗也會給Wordpress的正常訪問帶來影響，增加服務器運行壓力。本篇文章就為大家分享防止Wordpress後臺被暴力破解的方法：安裝WordPress安全類插件和使用/extend/plugins/better-wp-security/2、大家可以直接從後臺安裝Better WP Security，也可以在官網下載下來再上傳安裝插件。3、第壹次運行Better WP Security，會提示妳備份壹下數據庫，備份會發到妳的管理員郵箱當中。　4、第二項會提示妳要不要允許Better WP Security修改Wordpress的核心文件，部落選擇的是?NO?，大家用時可以自己斟酌壹下。　5、第三項是讓妳選擇壹鍵開啟安全防護還是自定義安全設置。　6、如果是自定義安全設置，會跳轉到狀態頁面，看到壹些自己當前WP所存在的安全問題。點擊安全問題後面的?Click here to Fix?修復。　二、Better WP Security的黑名單、定時備份、安全路徑、登錄次數限制1、Better WP Security有黑名單功能，妳可以屏蔽某些IP或者搜索引擎來訪問妳的Wordpress。　2、定時備份功能可以讓妳的WP自動備份並將備份好的文件發到妳的管理員郵箱當中。　3、安全路徑功能可以讓妳修改妳的Wordpress的登錄、後臺、註冊等路徑，防止陌生人暴力猜測用戶名與密碼。　4、Better WP Security的登錄次數限制是壹個對付那些暴力破解Wordpress後臺控制面板的很好功能，壹旦後臺登錄錯誤超過了指定次數，就會停止該IP繼續登錄或者間隔壹段時間才能登錄。　三、BulletProof Security功能強大的Wordpress安全插件1、BulletProof Security官網：1、WP官網：wordpress.org/extend/plugins/bulletproof-security/2、BulletProof Security也是壹個類似於上文所講到的Better WP Security的Wordpress安全插件。功能強大，操作簡單方便，壹鍵即可開啟。(點擊放大)　3、BulletProof Security在安全狀態中可以看到自己的WP的安全保持的狀態。　四、使用Wordpress安全插件所帶來的問題1、由於Wordpress安全類的插件多是通過修改wp-config.php和.Htaccess文件來達到加強Wordpress安全的目的。　2、而壹旦卸載了這些安全類插件，如果沒有清理以前Wordpress安全插件所修改的痕跡，很有可能導致WP運行錯誤。五、用.htpasswd保護Wordpress控制面板1、安裝Wordpress安全插件是壹個既簡單又快捷的加強Wordpress安全的方法，特別適合那些?懶人?或者對代碼操作不是很熟悉的新手朋友們。2、.htpasswd在線生成：1、.htpasswd生成：/htpasswd-generator/2、.htpasswd後綴名在Windows很難創建，可以下載示例：.htpasswd文件下載3、先到.htpasswd在線生成頁面中填寫用戶名和密碼。　4、提交後會得到壹串代碼。　5、將這個代碼復制到妳的.htpasswd文件中，保存。沒有的話自己創建壹個。上傳到妳的網站的根目錄中。　6、然後將下列代碼添加到妳的wp-admin目錄下的.Htaccess文件中，沒有該文件可以自己創建壹個。AuthUserFile /home/wwwroot/freehao123/public_html/.htpasswdAuthType BasicAuthName "restricted"Order Deny,AllowDeny from allRequire valid-userSatisfy any7、其中AuthUserFile是填寫妳的.htpasswd文件絕對路徑，妳要改成妳自己的。8、這樣當別人要訪問妳的wp-admin目錄時就會彈出要求用戶名和密碼驗證的提示。　9、根據部落測試發現，如果將wp-admin目錄下的所有文件都設置為需要驗證才能訪問，會導致在Wordpress前臺訪問時也出現要求驗證的問題。10、根據推測應該是Wordpress頁面調用了wp-admin目錄中的某些文件才導致要求驗證。解決的辦法就是：在.Htaccess中指定妳要驗證的文件。11、將以下代碼放在妳的網站根目錄下的.Htaccess就能實現對wp-login.php訪問實現驗證控制了。 AuthUserFile /home/wwwroot/freehao123/public_html/.htpasswdAuthType BasicAuthName "restricted"Order Deny,AllowDeny from allRequire valid-userSatisfy any12、如果妳要對其它的文件實現控制，請替換妳自己的文件即可。　六、Wordpress防暴力破解小結1、Wordpress防暴力破解最簡單的方法就是安裝WP安全類插件，防護全面，且不需要修改代碼，壹般將wp-config.php和.Htaccess設置755可讀寫即可。2、.htpasswd可以用來對訪問特定頁面實現用戶名和密碼驗證，不光可以用在Wordpress上，也可以用其它的博客、論壇等程序上。文章出自：免費資源部落 / 版權所有。本站文章除註明出處外，皆為作者原創文章，可自由引用，但請註明來源。