如何对WordPress站点进行安全测试

需要专业的工具和专业的人士来操作吧，个人没有技术的话还是不太建议。

创新互联专注于山阳网站建设服务及定制，我们拥有丰富的企业做网站经验。 热诚为您提供山阳营销型网站建设，山阳网站制作、山阳网页设计、山阳网站官网定制、小程序制作服务，打造山阳网络公司原创品牌,更为您提供山阳网站排名全网营销落地服务。

拿一个APP来做渗透测试来举例，需要以下流程（网站渗透测试虽然没有这么难，但是对于非专业人士也很困难啦~），

一、工具原料：

1、android APP包

2、安应用

二、APP和网站的渗透测试不太一样，我给你介绍一个android的渗透测试步骤吧：

1、组件安全检测。

对Activity安全、Broadcast Receiver安全、Service安全、Content Provider安全、Intent安全和WebView的规范使用检测分析，发现因为程序中不规范使用导致的组件漏洞。

2、代码安全检测

对代码混淆、Dex保护、SO保护、资源文件保护以及第三方加载库的代码的安全处理进行检测分析，发现代码被反编译和破解的漏洞。

3、内存安全检测。

检测APP运行过程中的内存处理和保护机制进行检测分析，发现是否存在被修改和破坏的漏洞风险。

4、数据安全检测。

对数据输入、数据存储、存储数据类别、数据访问控制、敏感数据加密、内存数据安全、数据传输、证书验证、远程数据通信加密、数据传输完整性、本地数据通讯安全、会话安全、数据输出、调试信息、敏感信息显示等过程进行漏洞检测，发现数据存储和处理过程中被非法调用、传输和窃取漏洞。

5、业务安全检测。

对用户登录，密码管理，支付安全，身份认证，超时设置，异常处理等进行检测分析，发现业务处理过程中的潜在漏洞。

6、应用管理检测。

1）、下载安装：检测是否有安全的应用发布渠道供用户下载。检测各应用市场是否存在二次打包的恶意应用；

2）、应用卸载：检测应用卸载是否清除完全，是否残留数据；

3）、版本升级：检测是否具备在线版本检测、升级功能。检测升级过程是否会被第三方劫持、欺骗等漏洞；

三、如果是涉及到服务流程的话，通用流程是这样的：

1、确定意向。

1）、在线填写表单：企业填写测试需求；

2）、商务沟通：商务在收到表单后，会立即和意向客户取得沟通，确定测试意向，签订合作合同；

2、启动测试。

收集材料：一般包括系统帐号、稳定的测试环境、业务流程等。

3、执行测试。

1）、风险分析：熟悉系统、进行风险分析，设计测试风险点；

2）、漏洞挖掘：安全测试专家分组进行安全渗透测试，提交漏洞；

3）、报告汇总：汇总系统风险评估结果和漏洞，发送测试报告。

4、交付完成。

1）、漏洞修复：企业按照测试报告进行修复；

2）、回归测试：双方依据合同结算测试费用，企业支付费用。

wordpress那个认证怎么改

越来越多的网站支持添加二步认证Two-Factor Authentication以提高安全性，在国内更多是以账号密码+短信码的方式，但海外网站可能更多采用二步认证的方式。

如果你觉得有必要为你的WordPress网站开启二步认证，则可以继续阅读本教程，了解如何使用Google Authenticator或者SMS短信验证码为WordPress添加Two-Factor Authentication。

为什么要为WordPress登录添加二步验证？

黑客使用的最常见的技巧之一称为暴力攻击。通过使用自动化脚本，黑客会尝试猜测正确的用户名和密码以攻入WordPress 网站。

如果他们窃取了密码或准确猜到了密码，则他们可能会用恶意软件感染您的网站，比如挂马、加密数据要挟。

保护WordPress网站免遭密码被盗的最简单方法之一是添加二步认证。这样，即使有人窃取了密码，他们无法跳过使用手机输入安全代码才能访问的步骤。

有多种方法设置WordPress二步认证登录。但是，最安全、最简单的方法是使用身份验证器应用程序。

方法 1. 使用WP 2FA插件添加二步认证（更简单的方法）

方法 2. 使用Two Factor插件添加二步认证

方法 1. 使用WP 2FA插件添加二步认证

这种方法最为简单，推荐大家首选此方法。这个方法很灵活，允许您对所有用户强制执行二步身份验证。

首先，您需要安装并启用WP 2FA – Two-factor Authentication插件。

启用后，您需要访问用户»您的个人资料页面并向下滚动到“WP 2FA Settings”部分。

点击“Configure Two-factor authentication (2FA)”按钮以启动设置向导。

插件将要求您选择一种身份验证方法：

使用您选择的应用程序生成的One-time code（推荐）

通过电子邮件发送给您的One-time code

建议您选择app方式认证，更安全可靠。然后单击下一步按钮继续。

该插件将向您展示一个二维码，您需要使用身份验证器应用（authenticator app）扫描该二维码。

什么是身份验证器应用（Authenticator App）？

身份验证器应用是一种智能手机应用程序，可为您保存在其中的帐户生成一个临时的一次性密码。

基本上，应用和您的服务器使用密钥来加密信息并生成一次性代码，您可以将其用作第二层保护。

有很多这样的应用可以免费使用。

最受欢迎的是Google Authenticator，但它并不是最好的。虽然它工作得很好，但它不提供可以在手机丢失时使用的备份。

我们建议使用Authy，因为它是一个易于使用且免费的应用程序，该应用还允许您以加密格式将您的帐户保存在云中。这样，如果您丢失了手机，则只需输入主密码即可恢复所有帐户。

其他密码管理器（如LastPass、1password等）都带有自己的身份验证器版本，它们都比Google身份验证器要好用得多，因为它们支持恢复密钥。

在本教程中，我们将使用Authy作为示例。

首先，单击身份验证器应用程序中的添加帐户按钮：

然后，该应用程序将请求访问您手机上的相机的权限。您需要允许此权限，以便您可以扫描插件设置页面上显示的二维码。

身份验证器应用现在将保存您的网站帐户，并开始显示可用于登录的一次性密码。

在插件的设置向导中，单击“I’m Ready”按钮继续。

该插件现在会要求您验证一次性密码。只需在身份验证器应用中单击您的帐户，它就会显示一个六位数的一次性密码，输入该密码。

之后，该插件将为您提供生成和保存备份代码的选项。如果您无法使用手机，则可以使用这些代码。您可以打印这些备份代码并将它们保存在安全的地方。

之后，您可以退出设置向导。

为所有WordPress用户设置WP 2-FA两步认证登录

如果您运行多用户WordPress网站，例如会员网站，则该插件还允许您为网站上的所有用户启用或强制执行二步认证登录验证。

只需转到设置»Two-factor Authentication页面即可配置插件设置。

该插件支持为所有用户启用二步认证登录，强制所有用户登录，并给用户足够的时间进行设置。

如果您的WordPress网站使用自定义登录表单页面，那么您还可以创建一个自定义页面，用户无需访问WordPress管理后台即可在其中管理其二步认证身份验证器设置。

不要忘记单击“保存更改”按钮来存储您的新设置。

以下是用户输入常规WordPress密码后，WordPress默认登录界面要求输入二步认证身份验证代码。

方法 2. 使用Two Factor插件添加二步认证

这种方法不太灵活，因为该插件不支持为所有用户强制执行两步认证登录。每个用户都必须自己设置，并且可以从他们的个人资料中禁用它。

首先，您需要安装并启用Two Factor插件。

启用插件后，访问用户»个人资料页面并向下滚动到Two-Factor Options部分。

从这里，您需要选择一个二步认证登录选项。该插件支持使用电子邮件、身份验证器应用和FIDO U2F安全密钥方法。

我们建议使用身份验证器应用方法。只需下载Google Authenticator、Authy 或 LastPass Authenticator等身份验证器应用，然后扫描屏幕上显示的二维码。

扫描二维码后，应用程序将向您显示验证码，您需要在插件选项中输入该验证码，然后单击提交按钮。

该插件现在将设置密钥。您可以随时从设置页面重置此密钥以重新扫描二维码。

不要忘记单击“Update Profile”按钮以保存您的设置。

现在，每次您登录WordPress网站时，系统都会要求您输入手机上应用生成的验证码。

关于WordPress中二步认证 (2FA) 的常见问题

以下是有关在WordPress中使用两步认证登录的一些常见问题的解答。

1. 如果无法访问手机，如何登录？

如果您使用的是带有Authy等云备份选项的身份验证器应用，那么您也可以在笔记本电脑上安装该应用程序。

即使没有随身携带手机，您可以访问身份验证代码。它还支持在购买新手机时恢复您的密钥。

上面提到的两种方法还支持您生成备份代码。当您无法使用手机时，这些代码也可用作一次性密码。

2. 如何不用密码登录？

如果您无权访问手机、笔记本电脑或备用代码，则只能通过禁用该插件来登录。

停用所有插件后，它还将禁用二步身份验证插件，您将能够登录到您的WordPress网站。登录后，您可以重新启用插件并重置二步身份验证设置。

3. 我还需要密码保护WordPress管理文件夹吗？

从使用HTTPS和安全WordPress托管等基础知识开始，当您拥有多层安全保护来保护您的网站时，网站安全效果最佳。二步认证的主要目的是加强WordPress登录安全，但您可以通过密码保护WordPress管理后台使其更加安全。

如果的WordPress网站是一个会员网站、在线商店或在线课程网站，就更应该做二步认证登录。

关于WordPress安全，建议大家可以阅读“如何有效地保护您的WordPress站点免受攻击入侵”和“WordPress网站免费SSL证书申请及配置教程”，来进一步完善WordPress安全防护措施。

原创文章，作者：微想小云，如若转载，请注明出处：

Wordpress下载Wordpress主机推荐Wordpress使用心得Wordpress怎么建站Wordpress插件Wordpress虚拟主机Wordpress问题解决

赞 (0)

生成海报

如何有效地保护您的WordPress站点免受攻击入侵

上一篇2022年 9月 24日 am8:13

如何正确地删除WordPress

wordpress 像极验验证这样的验证码插件吗

资源

在 插件资源集合 有各种你可能需要的资源，包括外站关于写插件的文章，以及特定主题的文章。

学习一个叫 Hello Dolly 的插件“范本”可以领你入门。

如果你的插件已经写完了，并自以为写的不错，查看 插件提交以及推广。

新建一个插件

这个部分告诉你怎么把开发插件的理想变为现实。

名称，文件和地方

插件名

你得先想一个名字，并且努力让它独一无二。在 Plugins 或者其他宝贝地方——Google或者百度先验证一下这个名字到底是不是独一无二的。另外你的名字得让别人明白你的插件是干什么的。

插件文件

下一步是创建一个PHP文件。按照原文奇怪的逻辑，你得先想好名字。这个名字还得是从插件名衍生过来的（其实是为你自己辨认的）。举个例子吧，比如说你的插件名字叫 "Fabulous Functionality",你的PHP名字可能是 fabfunc.php。另外不要用汉语拼音（这也是我加的），还要避免重名。人民群众会把你的插件安装到一个你也知道的叫wp-content/plugins/的地方,如果名字冲突岂不要悲剧了。

你也可以选择把插件分割成几个文件。 显而易见一个php文件是必需的，同时还需要图片、CSS、JavaScript、语言（当然也可以没有）。如果有很多文件，命名一个php和一个文件夹，例如 fabfunc and fabfunc.php。把你所有插件文件放到文件夹里，然后让你的用户相信只要把你的整个压缩包解压到 wp-content/plugins/就能正常使用你的劳动成果。

在本文的其余部分，“插件的PHP文件”是指主要插件的PHP文件，无论是在的wp-content/plugins/或子目录。

Readme文件

如果你想将你的插件发布到, 你必须在插件包中建立一个标准格式readme.txt文件. 文件格式参见about/readme.txt.

主页

最好为插件建立一个主页，以介绍插件的功能、安装方法、使用说明、适用的WordPress版本、插件更新信息等。

文件Headers

现在开始吧，首先让我们从向PHP主文件中加入一些信息

标准插件信息

插件的主文件顶部必须包括一个标准插件信息头。WordPress通过标准信息头识别插件的存在，并把她加入到控制面板的插件管理页面，这样插件才能激活，载入插件，并运行里面的函数；如果没有信息头，插件将无法激活和使用。标准信息插件头的格式为：

标准信息头至少要包括插件名称，这样WordPress才能识别你的插件。其他信息将显示在控制面板插件管理页面中。标准插件信息对各行顺序没有要求。

这样的升级机制能够正确地读出你的插件版本，建议你选择一个格式的版本号，不同版本之间，并坚持下去。例如，x.x中或x.x.x或xx.xx.xxx

注意：文件必须是 UTF-8 格式！

版权信息

通常我们还要在标准信息头中加入插件的许可证信息。大多数插件使用GPL或GPLCompatibleLicenses许可。如果使用GPL许可，要求插件中包含以下信息：

开始编写插件

现在是时候让你的插件能干些什么了。这部分内容包括插件开发的一般思路，而且介绍了开发插件需要做哪些工作。

WordPress插件钩子

许多WordPress插件通过连接一个或多个WordPress插件钩子来完成他们的功能。插件钩子的运行机理是，当WordPress运行到不同阶段，WordPress会检查当前阶段是否注册了插件函数，如果是，那么函数将被执行。通过执行插件函数改变了WordPress的默认功能。

例如，在WordPress将日志标题和post发送到浏览器前，会检查是否有插件函数注册了名为“the_title”的“filter”钩子。如果是，标题文本将会传送到注册函数中，注册函数返回值将会传送到浏览器。所以，如果要在日志标题中加入一些信息，可以通过这种方式实现。

另一个例子是名为“wp_footer”的“action”钩子。在WordPress的HTML页脚创建之前，会检查是否有插件注册了名为“wp_footer”的“action”钩子，如果是依次执行她们。

在Plugin API了解更多如何注册“filter”和“action”类型的钩子函数，及WordPress提供了那些插件钩子。如果你发现WordPress没有提供自己想要的钩子，你可以建议WordPress加入这个钩子，很多建议WordPress都会采纳。具体方法参考Reporting Bugs。

模版标签

另一个通过插件加入新功能的方法是建立自定义的模版标签Template Tags。如果有人想用你的插件，可以在他们的主题中添加这些标签，边栏，文章内容段，或者任意的只要是适合这插件的地方。例如，一个给文章添加地理位置的插件可能定义了一个模板标签函数geotag_list_states()放在边栏上，这里列表了所有在文章中关联的州的名称，并且还带有插件提供的到这些州的文档页的链接。

定义一个自定义模板标签，仅需要写一个PHP函数，并且在你插件主页或者插件的主PHP文件中声明一下。声明函数的时候，为这个函数提供一个示例来明确如果想要应用这个函数需要加主题中加些什么文件是个相当棒的主意。

保存插件数据到数据库

大多数WordPress插件需要站点的所有者或者是博客的用户输入信息，然后在对话过程中保存起来，以便过滤器函数(filter)、动作函数(action)或者模板函数(Template)使用。这些信息必须保存在WordPress的数据库中，以便下次使用。这里有两种基本的方法用于保存插件的信息到数据库里面。

使用WordPress的"option"机制（稍后会有介绍）。这种方法适合于保存一些相对小数量的静态命名类数据--这类数据通常只需要网站的所有者在首次建立插件的时候输入，以后很少改动。

文章属性post meta(a.k.a. Custom Fields)，适用于那些只和个人文章、页面或者附件有关的数据。

参看post_meta Function Examples, add_post_meta(), 以及与文章相关函数属性post.fuction meta (a.k.a. Custom Fields).

自定义分类法。对于文章分类或者其他对象，比如用户、评论，或者用户可编辑列表中的数据名称/值，可以考虑使用自定义分类法，尤其是当你要访问的所有的文章/对象与给定的分类法项目相关联的时候。查阅 Custom Taxonomies

在数据库中创建一个新的自定义数据表。这种方法适合于与个人文章、页面、附件或者评论相关的数据，这类数据会随着时间越来越多，它们也没有专有名称。参看Creating Tables with Plugins来了解更多这类信息处理方法。

WordPress的选项机制

参看 Creating Options Pages 得到更多如何创建会自动保存你选项数据的页面。

WordPress拥有一个机制来保存，更新和检索WordPress数据库中专用，名称类数据(即"options"机制)。选项值可以是字符，数组或PHP对象(他们会被"序列化"，或在存储前转换为字符，并在被检索时解开序列)。选项名称是字符，并且它们必须是独一无二的，这样就不会与其它的WordPress插件相冲突。

它也通常被认为是一个不错的主意，将你的插件使用的选项的数量降到最低。例如，考虑存储序列化数组的10个元素作为一个单一的命名选项，而不是存储10个不同的命名选项。

这里是你的插件应用WordPress option功能的主要函数。

add_option($name, $value, $deprecated, $autoload);

建立一个新的option; 如果这个option已经存在则不做动作.

$name

必须 (string). 要添加的option的名称.

$value

可选(string), 默认是空字符. option值会存在这里.

$deprecated

可选 (string), 不再被WordPress使用了,你可以不填或NULL 如果你希望应用后面的$autoload参数.

$autoload

可选, 默认为 'yes' (enum: 'yes' or 'no'). 如果设置为 'yes' 那么这个option会被get_alloptions 函数自动检索.

get_option($option);

在数据库中检索option值.

$option

Required (string). 你想返回数值的option名称。你可以Option Reference在找到一个随着WordPress一起安装好的默认option表。

update_option($option_name, $newvalue);

更新或创建数据库中的option值(注意 add_option 不是必须被调用，如果你不想作用 $deprecated 或$autoload 参数).

$option_name

必须(string). 要更新的option名.

$newvalue

必须. (string|array|object) option的新值.

管理面板

假定你的插件有一些选项(option)存储于WordPress的数据库中(参看上一节),你可能会想要一个主控面板来允许你的插件用户查看和编辑选项值。实现这一目标的方法阐述于Adding Administration Menus。

插件国际化

在你完成了你的插件的编写工作之后，另一个需要考虑的问题（假设你准备跟大家分享你的插件的话）就是将其国际化。国际化就是将你的软件设置成能够本地化的过程；本地化是将软件中显示的语言翻译成其他语言的过程。Wordpress正在被全球的人们使用，所以全球化和本地化是他内在的特性，这其中就包括了插件的本地化。

请注意，插件的语言文件是不会自动加载。将此插件代码，以确保加载的语言文件：

load_plugin_textdomain('your-unique-name', false, basename( dirname( __FILE__ ) ) . '/languages' );

要简单地取一个字符串使用 __('String name','your-unique-name'); 返回翻译或者 _e('String name','your-unique-name'); 输出翻译。翻译，然后进入你插件的 /languages 文件夹。

我们十分希望你能够将你的插件国际化，这样其他国家的用户就可以在自己的本地使用它了。我们有一个关于国际化的综合说明在I18n for WordPress Developers，这其中就包括了一个描述插件国际化的部分。

更新你的插件

本节介绍将插件托管到 之后必要的更新步骤。特别列出wordpress.org关于使用 Subversion（SVN）的一些细节。

假设你已经提交你的插件到WordPress的插件库，随着时间的推移，你可能会发现需要将某些功能添加到插件或修正错误。更新代码，并将变化提交到你的插件主干（trunk），这些变化将是公开可见的，但仅限于在技术上志同道合的人通过SVN检查你的插件。其他用户通过网站或自己的WordPress插件管理下载都不会改变。

当你准备发布一个新版本的插件：

确保一切承诺和新版本的实际工作。注意所有版本的WordPress的插件支持，并尝试与他们进行测试。不要只是测试新功能，也确保你不小心打破一些插件的旧功能。

更改主要的PHP文件头注释中的版本号为新的版本号。

更改readme.txt文件的“Stable tag”字段中的版本号。

在readme.txt文件中添加一个新的小节“changelog“，简要介绍与最后一个版本相比，新版本有什么改变。这将列出的插件页面上的“更新日志”选项卡。

提交这些更改。

创建一个新的SVN标记作为副本主干（trunk），遵循 this guide。

给系统一个运行两三分钟，然后检查你的插件，看看更新是否一切正常，以及WordPress 是否提示插件有更新（更新检查可能有缓存，比如wordpress.org插件页面或后台安装，所以这可能需要一些时间 —— 尝试访问“可用更新”页面）。

故障排除：

wordpress.org插件的页面上仍然列出旧版本。你是否更新了树干文件夹'stable tag' 字段？只创建一个标签和或更新readme.txt文件是不够的！

插件的页面提供了一个zip文件的新版本，但按钮仍然列出旧的版本号，而且WordPress 没有装更新通知。你是否已修改主要的PHP文件中“Version”版本号？

对于其他问题，请参考： The Plugins directory and readme.txt files

插件开发建议

最后这个部分是关于开发插件的一些建议。

WordPress插件的代码应该遵循 WordPress Coding Standards. 另外请同时参考Inline Documentation。

你的插件中所有函数的名称都应该与现存的Wordpress Core函数，其他插件或主题的任何名称不同。基于这个原因，我们建议你在你的插件的所有函数的名称之前加上一个你自己选择的前缀，或者把你的插件的函数都写在一个类里面（当然这个类的名字也必须是唯一的）。

请不要把Wordpress数据库表格前缀（通常是“wp_”）直接写在你的插件里，请使用$wpdb-prefix 。

虽然数据库的读取相对便宜，但它的写入是相当昂贵的。数据库十分擅长获取信息并呈现给用户，而且这些操作（通常）是非常迅速的。然而对数据库进行改动就是一个非常复杂的过程了，而且需要使用更长的计算时间。因此，请尽量减少你对数据库进行写入的次数。在你编写程序的时候就做好所有的准备，这样就可以只在必须的时候再进行写入了。

在数据库里只SELECT你需要的东西。尽管数据库的读取十分便捷，我们依然推荐你值查找真正需要的数据，来尽量减少数据库的负载。例如，如果你只想获得表格的行数，不要使用 SELECT * FROM, 因为这样的话每一行中的所有数据都会被读出，导致内存的浪费。同样的，如果在插件中你只想获得post_id和post_author，请只 SELECT 这两项来减少数据库的负载。记住：在某一个操作的同时可能有其他上百个进程需要使用数据库，而数据库和服务器都必须同时满足所有这些进程的需求。学习怎样尽量减少你的插件对数据库的使用可以避免对这些资源的滥用。

不要让你的PHP出错。在你的wp_config.php文件中添加define('WP_DEBUG',true);，对你的所有函数进行测试来确定是否有任何的错误或者警告。有多少，就修复多少，直到再也不出现为止。

尽量不要直接调用

名称栏目：wordpress级验 wordpress升级
链接分享：http://hbruida.cn/article/doegegi.html