WordPress 是全球使用最广泛的建站程序，也是被黑客攻击最多的目标。据 WPScan 统计，超过 90% 被黑的 WordPress 站点，问题都出在过时的插件、弱密码和没有加固的服务器环境上。很多站长发现被挂马时往往已经晚了——排名掉了、数据被删、网站还被搜索引擎标记为危险站点。本文从入侵原理讲起，手把手教你完成 WordPress 安全加固，并给出被挂马后的应急清理流程，全部配置均可直接落地。
一、WordPress 被黑的三大根源
先搞清楚攻击者是怎么进来的，防护才能有的放矢：
1. 弱密码与暴力破解。wp-login.php 是公开入口，攻击者用字典和撞库工具对后台无限尝试登录，弱口令几分钟就能被攻破。这是最常见的入侵方式。
2. 插件和主题漏洞。WordPress 核心本身相对安全，但大量第三方插件常年不更新，存在 SQL 注入、任意文件上传等已知漏洞。攻击者用公开的 EXP 批量扫站，命中一个就拿下。
3. 服务器权限配置不当。很多新手把网站目录直接设为 777 权限，或使用 root 运行 Web 服务，一旦某个 PHP 文件被写入后门，整个服务器都沦陷。
二、WordPress 安全加固实战配置
下面按”文件权限 → 登录保护 → 防爆破 → 隐藏信息”四个维度加固，每一条都给出可直接执行的命令。
1. 目录文件权限加固（宝塔/Linux）
正确权限原则：目录 755、文件 644、所有者必须是 Web 运行用户（宝塔默认 www）。在 SSH 中执行：
# 进入站点根目录（以宝塔默认路径为例）
cd /www/wwwroot/你的域名
# 目录统一 755，文件统一 644
chmod -R 755 /www/wwwroot/你的域名
find /www/wwwroot/你的域名 -type f -exec chmod 644 {} \;
# 属主改为 www，防止 root 权限泄露
chown -R www:www /www/wwwroot/你的域名
# wp-config.php 单独收紧到 600，防止被读取数据库密钥
chmod 600 wp-config.php同时删除根目录下无用的 phpinfo.php、readme.html、license.txt 等文件，它们会泄露服务器版本信息。
2. 登录地址保护与 IP 白名单
最简单的做法：只允许自己的 IP 访问 wp-login.php。以 Nginx 为例，在站点配置的 server 块中加：
location ^~ /wp-login.php {
allow 你的公网IP;
deny all;
# 如果使用了 CDN，注意要放行 CDN 回源 IP
# allow 103.21.244.0/22;
}也可以安装 WPS Hide Login 类插件修改登录地址，插件方式更灵活，适合 IP 经常变化的用户。
3. 防暴力破解：fail2ban 自动封 IP
靠 IP 白名单挡不住内鬼，用 fail2ban 监控登录失败次数、自动封禁更实用。宝塔面板可以在”安全”页直接开启 SSH/WP 登录防护；手动部署如下：
# 安装 fail2ban（CentOS/Ubuntu 均可）
yum install -y fail2ban # 或 apt install -y fail2ban
# 新建 WordPress 防护规则
cat > /etc/fail2ban/filter.d/wp-auth.conf <<'EOF'
[Definition]
failregex = ^<HOST> .* "POST /wp-login\.php.*" (401|403)
ignoreregex =
EOF
# 启用 jail
cat > /etc/fail2ban/jail.d/wp.local <<'EOF'
[wp-auth]
enabled = true
port = http,https
filter = wp-auth
logpath = /www/wwwlogs/你的域名.log
maxretry = 5
bantime = 3600
EOF
systemctl restart fail2ban这样同一 IP 连续 5 次登录失败，就会被封禁 1 小时。
4. 禁用文件编辑、关闭 XML-RPC、隐藏版本号
在 wp-config.php 中添加以下常量，三条代码分别禁用后台在线编辑主题/插件、关闭 XML-RPC 接口（防暴力破解放大攻击）、关闭自动更新时暴露版本：
// 禁止后台在线编辑文件，防止入侵者通过编辑器写马
define('DISALLOW_FILE_EDIT', true);
// 关闭 XML-RPC，防 Pingback 反射型 DDoS
add_filter('xmlrpc_enabled', '__return_false');
// 移除版本号，降低被针对性攻击概率
remove_action('wp_head', 'wp_generator');三、网站已经被挂马？应急处理流程
发现网站异常（弹窗广告、跳转赌博站、后台出现陌生管理员）时，按下面流程抢救：
第一步：立即隔离。先用快照或整站打包备份现场，方便事后溯源取证，再断开对外服务排查。
第二步：全站扫描后门。在站点根目录执行（特征串用正则字符类做了拆分，防止命令本身被服务器 WAF 误拦，直接复制即可正常匹配）：
# 搜索常见一句话木马特征
grep -r 'eval(base64_de[c]ode' /www/wwwroot/你的域名 --include="*.php"
grep -r 'assert(\$_PO[S]T' /www/wwwroot/你的域名 --include="*.php"
grep -rl 'gzinfl[a]te\|str_ro[t]13' /www/wwwroot/你的域名/wp-content/ --include="*.php"
# 查找近期被修改的 PHP 文件（按修改时间倒序）
find /www/wwwroot/你的域名 -name "*.php" -mtime -7 -type f第三步：恢复核心文件。后台 → 外观 → 主题，重新安装当前主题覆盖；插件全部禁用后逐个排查；WordPress 核心文件用官网最新版压缩包覆盖同名文件。
第四步：清理后改密。修改数据库密码、FTP/SSH 密码及后台所有管理员密码，删除陌生管理员账号，最后开启两步验证（2FA）插件，防止二次入侵。
四、总结
WordPress 安全没有一劳永逸，核心就三件事：权限收得紧、登录守得住、更新跟得上。建议每周查看一次 /www/wwwlogs 下的访问日志，关注 wp-login.php 的异常请求；每次插件更新前先备份。如果你的站点正在遭受攻击、自身运维人手不足，也可以选择专业的云防护服务——例如速度网络提供的 WordPress 站点防护方案，自带 WAF 拦截、CC 防护和 7×24 小时应急响应，把安全交给专业团队，自己专注内容运营。安全加固做在前面，永远比被黑之后补救便宜得多。
