Tag: 网站安全优化

网站遭受恶意软件攻击是常有的事，WordPress 网站还是最容易成为攻击对象的。如果不及时解决， WordPress 托管服务器可能会暂停你的账户，甚至像 Google 这些主流搜索引擎可能会将网站列入黑名单，不再收录。

使用反恶意软件插件是最常用的选择之一

用 WordPress 的反恶意软件插件是清除恶意软件、甚至防止恶意攻击的比较好用的方法之一。这些插件可以通过防止和解决安全问题来保护网站。它们能够扫描有害内容并将其清除。市面上有免费和付费两种选择，你们可以根据需求选择最适合自己的插件。

为什么 WordPress 网站经常被攻击？

由于 WordPress 的普及，它成为了黑客的主要目标。根据 Sucuri 的 2022 年报告，高达 96.2% 的被黑网站 使用的是 WordPress。而这些网站遭受攻击的首要方式？没错，就是 恶意软件。恶意软件占据了 72% 的攻击 类型！

黑客还喜欢通过后门入侵，利用垃圾信息填充网站以提高他们自己的排名。这手段有点“肮脏”了，但了解黑客的操作方式，是保护网站的第一步。

2022 年被感染网站平台分布（来源：Sucuri）

• WordPress 占据绝大多数份额

黑客也利用不同的恶意软件（Malware Families）传播攻击。以下图表展示了恶意软件的分布情况。

反恶意软件插件如何保护 WordPress 网站？

可以把恶意软件清除插件想象成网站的“保镖”。它会不断检查网站的文件、代码和数据库中是否隐藏着任何潜在威胁。

这些插件就像数字侦探一样，寻找与已知恶意内容相匹配的模式，就像对比指纹一样。如果发现可疑内容，它们可以将其隔离、完全删除，或者提醒管理员采取进一步措施。

除了发现和清除恶意软件，这些插件还充当屏障，阻止可能窃取网站数据、影响搜索引擎排名，甚至感染访客电脑的攻击。

WordPress 最佳反恶意软件插件推荐

现在已经知道如何为自己的网站选择合适的 WordPress 反恶意软件插件了，下面是一些市面上常用的插件，可以参考。

1. Wordfence Security

Wordfence 反恶意软件插件

Wordfence 是一款集成型安全插件，可保护网站免受黑客和恶意软件的攻击。

它提供全面的安全功能，包括防火墙、恶意软件扫描器和登录安全功能，在 WordPress 上清除恶意软件变得非常高效。Wordfence 每天更新恶意软件定义和签名，是网站扫描和安全保护的强大工具之一。

Wordfence 插件仪表盘

来源：WordPress.org

Wordfence 是一个 Freemium（免费+付费） 的 WordPress 安全插件，提供多种功能，例如不限站点使用、国家/地区屏蔽、实时恶意软件签名更新以及实时 IP 黑名单。它因与 WordPress 的深度集成而脱颖而出，同时不会影响加密性或泄露数据。

Wordfence 防火墙的恶意软件保护

来源：WordPress.org

Wordfence Central 能够从一个仪表盘管理多个网站的安全。它提供一站式的安全评估、详细报告、模板配置、可定制的警报（支持电子邮件、短信、Slack）以及对重要安全事件的实时跟踪。

核心功能

• 终端防火墙
• 恶意软件扫描器
• 实时流量监控
• 暴力破解保护
• 阻止攻击者访问你网站的功能
• Wordfence Central：集中管理多个网站的安全

优点

✓ 保护网站免受常见安全威胁
✓ 安装简单、使用便捷
✓ 提供免费版本
✓ 实时威胁防御更新
✓ 支持两步验证

缺点

✗ 可能无法检测数据库中的恶意软件
✗ 免费版本对最新恶意软件签名的访问有 30 天延迟
✗ 高级功能需要付费订阅

2. All-In-One Security (AIOS)

AIOS 插件登陆页面

来源：WordPress.org

All-In-One Security 是一款多功能安全盾插件。免费版本提供多种功能，可保护网站免受未经授权的访问尝试、恶意流量、评论垃圾和内容盗窃的威胁。

通过升级到高级版本，可以解锁更多功能，例如主动威胁检测和移除的恶意软件扫描、确保网站持续可访问的运行时间监控，以及针对安全问题的优先客户支持服务。

登录安全工具包括登录尝试锁定、强制用户注销、隐藏登录页面以防止机器人攻击以及更改默认的 wp_ 前缀。AIOS 是一款针对 WordPress 的反恶意软件插件，还允许你跟踪网站活动，以更好地进行安全监控。

AIOS 恶意软件清除仪表板

来源：WordPress.org

AIOS 的防火墙设置从基础级到中级再到高级都有覆盖。不仅限于基础保护，它会自动更新防火墙，防御最新的攻击漏洞，从而保证网站安全，即使是免费用户也无需频繁升级。这种主动保护方式通过 Perishable Press 提供支持的 6G 黑名单 进一步得到增强。

AIOS 恶意软件清除插件扫描器

来源：WordPress.org

核心功能

• IP 地址收集
• 文件完整性检查
• 备份与恢复
• 6G 黑名单
• 内容保护功能
• 审核日志记录
• 404 阻止功能
• 国家/地区屏蔽功能

优点

✓ 免费提供多种安全功能
✓ 简单易用，无需复杂配置
✓ 支持多种语言翻译
✓ 防止其他网站复制你的内容

缺点

✗ 免费版本的恶意软件保护功能有限
✗ 防火墙功能主要依赖修改 .htaccess 文件
✗ 无漏洞检测功能

3. Sucuri Security

来源：WordPress.org

Sucuri Security 是一款知名的外部恶意软件扫描工具。虽然它缺少内部扫描功能，但在遭遇黑客攻击后的恢复方面表现出色。其功能包括文件完整性检查和一键插件重置，非常适合清理被入侵的网站。它还可以通过重置安全密钥和用户密码立即运行。

Sucuri Security 插件仪表板

来源：WordPress.org

Sucuri 采用分层的安全措施，首先通过安全活动审计和文件完整性监控等主动功能不断扫描网站，以识别可疑活动和潜在漏洞。它还提供远程恶意软件扫描，能够发现隐藏的威胁，并通过黑名单监控确保你的网站不会与恶意活动相关联。

Sucuri 的有效安全加固实践进一步增强了对威胁的预防能力。免费版本提供这些核心功能，而高级版本则包括网站防火墙，为网站防御恶意流量提供额外保护。

Sucuri 安全警报功能

来源：WordPress.org

核心功能

• 屏蔽黑名单 IP 地址
• 移除隐藏的后门程序
• 提供黑客攻击后恢复工具
• 清理受感染文件
• 黑客攻击后的安全操作
• 安全通知
• 远程恶意软件扫描
• 安全加固

优点

✓ 审核日志搜索与过滤
✓ 无限次按需扫描
✓ 登录时间戳可见性
✓ 缓存控制头信息

缺点

✗ 可能存在误报的情况
✗ 高级功能可能对部分用户来说价格过高

如果需要更多信息或调整，请随时告诉我！

4. MalCare

MalCare 恶意软件清除插件

来源：WordPress.org

MalCare 是一款强大的 WordPress 反恶意软件插件，其开发基于对超过 240,000 个网站的分析。它利用 100 多种信号来检测恶意软件，即使是复杂的恶意软件也能在损害网站之前被发现。通过其“一键清除恶意软件”功能，你可以在 60 秒内快速清理网站。

MalCare 配备基于云的防火墙，为你提供全天候的垃圾攻击防护。同时，它还拥有漏洞检测功能，能够提醒管理员网站存在的任何风险。

此外，MalCare 提供全面的网站管理模块，将安全功能与网站管理工具集成到 WordPress 仪表盘中。这一集中平台帮助用户管理安全性并监控网站健康状况。

MalCare 恶意软件清除仪表盘

来源：WordPress.org

MalCare 的高级版本进一步提升了 WordPress 恶意软件清除的效率，并提供白标解决方案，让代理公司可以以自己的品牌为客户提供服务。MalCare 还允许用户生成专业的报告供客户查看。

核心功能

• 安全加固
• 自动恶意软件扫描
• 黑名单监控
• 修复损坏文件
• 黑客攻击后的安全操作
• 基于 CAPTCHA 的登录保护

优点

✓ 使用简单
✓ 有效防御零日恶意软件
✓ 不影响网站性能
✓ 客服响应迅速

缺点

✗ 免费版本不支持数据库扫描
✗ 免费版本的自定义功能有限

如果需要进一步调整或补充内容，请随时告诉我！

5. SecuPress

SecuPress 插件

来源：WordPress.org

SecuPress 是一款中等效果的 WordPress 安全插件，旨在在不影响网站性能的情况下提升网站安全性。

该插件提供丰富的功能来保护网站，同时避免使用过多的技术术语。对于主动防护的用户来说，免费版本表现良好，但对于那些需要更多支持的用户，则可能需要使用付费版本。

SecuPress 仪表盘

来源：WordPress.org

SecuPress 会扫描网站健康状况，并生成可导出的 PDF 格式报告。它拥有多种安全功能，包括自制的 CAPTCHA，为 Google CAPTCHA 提供替代方案。

SecuPress 可以隐藏网站登录页面以防止机器人攻击，同时阻止暴力破解攻击。通过隐藏登录错误信息，它有效地保护了关键信息。此外，SecuPress 还提供 IP 白名单和黑名单功能。

SecuPress 的安全措施不仅限于服务器，还可以检测文章和页面的未授权更改，并通过电子邮件和 Slack 向你发送安全事件通知。

核心功能

• 防暴力破解登录
• 反垃圾邮件措施
• 阻止 IP
• 防火墙
• 恶意软件扫描
• 安全警报

优点

✓ 用户友好的界面
✓ 发送安全警报
✓ 提供安全报告

缺点

✗ 不兼容其他安全插件
✗ 免费版本的恶意软件扫描效率较低
✗ 免费版本不提供清除功能

如果需要进一步调整或补充内容，请随时告诉我！

6. Titan Anti-Spam & Security

Titan WordPress 安全插件

来源：WordPress.org

Titan Anti-Spam & Security 是另一款优秀的 WordPress 反恶意软件插件。

它从多个角度解决网站安全问题，为你的 WordPress 网站提供强大的防御系统。除了基础的垃圾信息保护外，Titan 还具备保护网站核心文件、识别漏洞以及防止恶意攻击的功能。

集成的恶意软件扫描器能够拦截包含恶意代码或内容的请求。免费版本使用超过 1000 个签名进行基本扫描，而升级到 Pro 版本后，可以解锁基于超过 6000 个签名的高级扫描功能。

Titan 恶意软件扫描仪表盘

来源：WordPress.org

像大多数反恶意软件插件一样，Titan 包括一个 Web 应用程序防火墙 (WAF)。在 Pro 版本中，防火墙规则通过威胁防护渠道实时更新。

此外，Titan 的攻击日志 (Attack Logs) 提供了与传统分析工具不同的独特视角。它们提供关于潜在恶意访问和黑客攻击的实时信息，包括访问者来源、IP 地址、时间戳以及在网站上的停留时间。

Titan 还提供三步智能垃圾过滤服务。反垃圾功能使用庞大的数据库和自学习能力来仔细检查评论并阻止垃圾信息。

核心功能

• 实时 IP 黑名单
• 安全审计
• 网站检查器
• 两步验证 (2FA)
• 备份功能

优点

✓ 流行的选择
✓ 涵盖多个安全方面
✓ 适合初学者使用

缺点

✗ 资源占用较高
✗ 部分功能的配置较复杂

7. Jetpack

来源：WordPress.org

Jetpack 是一款多功能 WordPress 插件，提供丰富的功能，包括安全保护、性能优化和营销工具。由 Automattic 开发，Jetpack 弥合了自托管 WordPress 网站与 WordPress.com 功能之间的差距。

除了提供重要的 Web 应用防火墙 (WAF) 作为额外的保护层外，Jetpack 还提供 全天候自动网站安全保护，包括实时自动备份、轻松恢复、恶意软件扫描和垃圾信息防护。关键功能如防暴力破解攻击和网站运行状态监控（正常运行/停机时间监控）均为免费提供。

Jetpack 恶意软件清除仪表盘

来源：WordPress.org

Jetpack 自动扫描恶意软件和其他代码威胁，并提供一键修复功能，如果网站受到攻击，可以快速恢复。Jetpack 还提供一键实时备份功能，并附带 10GB 云存储（可扩展），确保网站恢复和数据安全无忧。

核心功能

• 自动恶意软件扫描
• 威胁通知
• 防暴力破解攻击
• 使用 WordPress.com 登录功能
• 可审计的活动日志
• 简化的网站管理

优点

✓ 提供多种功能
✓ 外部仪表板管理
✓ 紧急情况下支持备份和恢复

缺点

✗ 恶意软件扫描为付费功能
✗ 部分用户反馈插件可能会导致网站轻微变慢

总结

WordPress 的灵活性和丰富的插件库使其成为众多网站所有者的首选。然而，这种开放性也可能带来安全风险。恶意代码可能隐藏在看似无害的插件和主题中，威胁到整个网站的安全。

常见问题解答

问：如何移除 JavaScript 恶意软件？
移除 JavaScript 恶意软件可能较为复杂。建议使用可信的安全插件处理。如果感染较为严重，可以考虑聘请 WordPress 安全专家。在操作之前，一定要先备份你的网站。

问：如何检测 WordPress 上的恶意软件？
恶意软件通常很难被发现。可以使用安全插件扫描威胁。此外，留意网站异常行为，例如性能变慢或出现奇怪内容，同时警惕可疑的电子邮件或搜索引擎的警告。

问：如何免费扫描我的 WordPress 网站中的恶意软件？
有多款免费插件可以扫描恶意软件，例如 Wordfence、Sucuri 和 MalCare。这些工具很受欢迎。但请注意，免费扫描工具可能会有一定的局限性。如需更全面的保护，可以考虑使用付费选项。

问：如何判断我的网站是否感染了恶意软件？
恶意软件通常很隐蔽。留意突发的变化，例如流量异常、登录问题或收到安全警报。如果怀疑网站感染了恶意软件，请立即采取措施保护网站安全。

在某些情况下，你希望限制用户在 WordPress 网站上的登录数量，确保每个用户只能在一台设备上登录。这种方法不仅能够提高网站的安全性，还能防止用户在多台设备上共享登录信息。本文将详细介绍如何使用免费的插件来限制用户登录到一台设备，以及如何通过添加自定义代码片段绕过某些用户或角色的限制。

第一步：安装并激活 Loggedin – Limit Active Logins 插件

首先，需要安装并激活免费的 Loggedin – Limit Active Logins 插件。以下是安装该插件的分步操作说明：

1. 进入 WordPress 仪表板，点击 插件 » 安装新插件。
2. 在右上角的搜索栏中输入 “Loggedin – Limit Active Logins”。

3. 找到插件后，点击 安装，然后点击 激活。

安装并激活插件后，它会默认限制每个用户最多 3 次设备登录。如果用户尝试在超过这个数量的设备上登录，他们将收到一条提示信息，提示他们的登录次数已达到上限。

如何配置 Loggedin 插件

激活插件后，Loggedin 插件会立即开始工作，但你可以根据需求更改其默认设置：

1. 在 WordPress 仪表板中，点击 设置 » 常规。
2. 向下滚动到 登录设置 部分，找到名为 最大活动登录次数 的选项。

3. 如果你希望限制用户只能在一台设备上登录，将该数字设置为 1。
4. 接下来，还可以配置 登录逻辑 设置。这将决定当用户达到登录限制时会发生什么：
   • 允许：用户可以在新设备上登录，但他们的其他设备将自动注销。
   • 阻止：用户在其他设备的会话结束前，无法登录新设备。

要确保用户只能在一台设备上登录，需要将 最大活动登录次数 设置为 1，并将 登录逻辑 设置为 阻止。

点击 保存更改 按钮来存储你的设置。

如何手动注销用户

插件还提供了强制注销用户的功能。通过该功能，可以手动将某个用户从所有设备上注销。以下是步骤：

1. 在 WordPress 仪表板中，进入 用户 部分。

2. 找到你想要强制注销的用户，点击编辑，找到 url链接，并记下 用户 ID。

3. 返回 设置 » 常规 页面，向下滚动到 登录设置，找到 强制注销 选项。

4. 输入该用户的 用户 ID，然后点击 强制注销 按钮。

此时，该用户将被强制从所有设备上注销，需要重新登录。

绕过某些用户或角色的登录限制（高级功能）

如果你希望绕过某些用户或角色的登录限制。例如，管理员可能需要多台设备登录，或者某些重要的团队成员在多个工作地点使用不同的设备。在这种情况下，可以通过添加自定义代码片段，绕过这些限制。

绕过特定用户的登录限制

要绕过特定用户的登录限制，可以使用自定义代码片段来实现。为了安全起见，建议使用 WPCode 插件来管理代码片段。以下是如何操作：

1. 安装并激活 WPCode 插件。

2. 在 WordPress 仪表板中，点击 代码片段 » + 添加片段。

3. 悬停在“添加自定义代码（新代码片段）”条目上，点击 添加自定义代码。

4. 在弹出窗口中选择 PHP Snippet 选项。

5. 在代码编辑器中添加以下代码片段：

function loggedin_bypass_users( $bypass, $user_id ) {
 
    // Enter the user IDs to bypass.
    $allowed_users = array( 1, 2, 3, 4, 5 );
 
    return in_array( $user_id, $allowed_users );
}
 
add_filter( 'loggedin_bypass', 'loggedin_bypass_users', 10, 2 );

在这段代码中，需要将 $allowed_users = array( 1, 2, 3, 4, 5 ); 中的数字替换为你想要绕过登录限制的用户 ID。例如，如果想让用户 ID 为 2 和 5 的用户绕过限制，将代码修改为 array( 2, 5 )。

完成后，将代码片段设置为 活动，然后点击 保存代码片段 按钮。

绕过特定角色的登录限制

如果想要绕过某些角色的登录限制，例如管理员或编辑，可以使用以下自定义代码片段来实现。步骤如下：

1. 创建一个新的代码片段，并命名为 绕过特定角色的登录限制。
2. 将以下代码片段粘贴到代码编辑器中：

function loggedin_bypass_roles( $prevent, $user_id ) {
 
    // Array of roles to bypass.
    $allowed_roles = array( 'administrator', 'editor' );
 
    $user = get_user_by( 'id', $user_id );
 
    $roles = ! empty( $user->roles ) ? $user->roles : array();
 
    return ! empty( array_intersect( $roles, $allowed_roles ) );
}
 
add_filter( 'loggedin_bypass', 'loggedin_bypass_roles', 10, 2 );

在这段代码中，可以将 array( 'administrator', 'editor' ) 中的角色名称替换为你想要绕过限制的角色名称。角色名称需要用单引号（'）括起来，并用逗号隔开。

完成后，将代码片段设置为 活动，并点击 保存代码片段 按钮。

总结

通过使用 Loggedin – Limit Active Logins 插件，可以轻松地限制用户登录到指定的设备数量，从而提高 WordPress 网站的安全性。如果需要对某些用户或角色进行例外处理，还可以通过添加自定义代码片段，绕过这些限制。使用 WPCode 插件可以帮助你更加安全和便捷地管理这些代码。