wordpress安全防护

wo-login文件

wordpress自身体系来说，最直接的危害便是wp-login.php这个背景路径已经不在是什么秘密了，最好的办理要领无非也便是怎样把这个背景路径给屏蔽或更换一个更潜伏的地点，这里小编就说些最简略，小白也可以大概看懂的要领：

一、首先找到wordpress根目录下的wp-login.php文件，用代码编写软件打开，编辑内里代码，搜刮wp_shake_js找到

if ( $shake_error_codes && $wp_error->get_error_code() && in_array( $wp_error->get_error_code(), $shake_error_codes ) )
add_action( 'login_head', 'wp_shake_js', 12 );

在这段?>的下一行加入代码

<?php
if($_GET["aa"]!="bb"){
header('Location: http://www.2zzt.com');
}
?>

其中aa、bb替换为自己的内容，然后wordpress后台的地址就变成了 http://www.2zzt.com/ wp-login.php?aa=bb 结构了，这就成了您wordpress后台的唯一路径，其他路径均跳转到首页了！当然这个代码也可以放在主题的文件里，这样每次wordpress更新就不需要再修改一次了,在主题文件下找到functions.php，将下面代码加入即可得到同样的效果!

add_action('login_enqueue_scripts','login_protection');
function login_protection(){
if($_GET['aa'] != 'bb')header('Location: http://www.2zzt.com/');
}

但是话说回来，我们仔细研究下wordpress的登陆文件会发现，其实wordpress的登陆是采用post的方式来提交登陆参数的，所以说，即使我们做了后台地址的隐藏，但是通过post提交还是可以登陆到wordpress的后台，那么这样我们该如何做呢？

解决方法只有把wordpress转移到子目录下，操作方式是

a、wordpress后台-设置-常规下 wordpress地址（url）换成http://www.2zzt.com/aaa（aaa为我们自己设置的，是没有人知道的）

b、在我们的网站根目录下创建一个aaa文件夹（aaa为上面所说的名称），然后将根目录下的所有文件（除了index.php、robots.txt以及.htaccess外）的所有文件转移到这个aaa文件夹下,那么我们现在的登陆后台就变成了http://www.2zzt.com/aaa/wp-login.php，而aaa是没有人知道的地址。。。

wordpress搬到子目录后还要将根目录下index.php文件内容

require('./wp-blog-header.php');

修改为：

require('./aaa/wp-blog-header.php');

小编不得不提示下，这里的aaa是你们自己设置的子目录的名称，要活学活用哈！

这样一来，后台地址隐藏了，且无法通过post来提交登陆信息了。。。这是黑客也无从下手的节奏啊！

后台帐号admin

为了更加的安全，建议大家或者说一定不要将admin还作为网站管理帐号登陆，这给暴力破解带来了方便。同时，通过?author=$id也可以很简单的爆出我们的管理帐号，例如：222.com/?author=*（*号为1-9999数字）即可轻而易举的爆出我们的管理帐号，有了帐号再加上市面上的密码字典，那破解也只是时间问题了，解决方法是在functions.php文件里添加一下一下代码：

add_filter( 'request', 'v7v3_author_link_request' );
function v7v3_author_link_request( $query_vars ) {
if ( array_key_exists( 'author_name', $query_vars ) ) {
global $wpdb;
$author_id=$query_vars['author_name'];
if ( $author_id ) {
$query_vars['author'] = $author_id;
unset( $query_vars['author_name'] );
}
}
return $query_vars;
}
add_filter( 'author_link', 'v7v3_author_link', 10, 2 );
function v7v3_author_link( $link, $author_id) {
global $wp_rewrite;
$author_id = (int) $author_id;
$link = $wp_rewrite->get_author_permastruct();
if ( emptyempty($link) ) {
$file = home_url( '/' );
$link = $file . '?author=' . $author_id;
} else {
$link = str_replace('%author%', $author_id, $link);
$link = home_url( user_trailingslashit( $link ) );
}
return $link;
}

这样重写后即可改变作者页面的链接方式了。

wp-admin目录

这个问题延伸出一个更为深点的问题，那就是我们如何把wp-admin目录也保护起来呢？小编给的方法虽然有点麻烦，但是绝对很安全，那就是在wp-admin目录下新建个.htaccess让只有你一个IP能够访问，这个方法麻烦就麻烦在如果你的网是动态IP，那么就要进.htaccess修改一次IP，才可访问，但是这方法也绝对够安全了。.htaccess的内容为：