WordPress 網站如何防範大規模暴力破解攻擊

前段時間，WordPress 網站遭到了大規模的暴力破解攻擊，攻擊者首先掃描網際網路上的 WordPress 網站，然後利用 Web 伺服器組建的殭屍網路不斷嘗試使用者名稱和密碼試圖登入管理後臺。

一般的殭屍網路是利用普通 PC，而這次攻擊者使用了超過 9 萬臺 Web 伺服器，伺服器比 PC 有更大的頻寬和連線速度，因此可以更快的發動攻擊。攻擊者暴力攻擊 WordPress 管理入口，使用預設的使用者名稱 admin，並嘗試數以千計的密碼。

如何防止被掃描和攻擊

從上面這則新聞，可以看出攻擊者主要是首先掃描 WordPress 網站，然後透過窮舉法攻擊 WordPress 的預設使用者名稱：admin，我們可以透過以下三個步驟來減少被攻擊以及被攻陷的機會：

1. 在當前 functions.php 新增以下程式碼去掉 WordPress 版本資訊，減少被掃描到的機會。

remove_action( 'wp_head', 'wp_generator');

1. 預設的使用者名稱不要為 admin，透過一下 SQL 修改 admin 的使用者名稱：

UPDATE wp_users SET user_login = 'newuser' WHERE user_login =  'admin';

1. 安裝 Limit Login Attempts 外掛，限制登陸嘗試次數，防止透過窮舉法獲取後臺密碼。