为防止黑客在 WordPress 目录中增加或修改文件内容，可从加强访问权限控制、保持软件更新、提升文件安全性等方面入手，具体防护方法如下：
限制目录访问权限：在.htaccess文件中添加规则来限制对特定目录的访问。例如，在wp – includes和wp – content/uploads目录下创建.htaccess文件，添加代码<Files *.php> deny from all </Files>，禁止执行 PHP 文件，可防止黑客上传恶意 PHP 脚本。还可在.htaccess中限制 IP 访问，如<Files wp – login.php> Order Deny,Allow Deny from all Allow from 123.123.123.123 </Files>，仅允许指定 IP 访问登录页面。
强密码策略与双因素认证：避免使用 “admin” 等默认用户名，强制所有用户使用强密码，包含字母、数字和符号。部署密码管理器，如 LastPass、1Password 等辅助管理密码。启用双因素认证，如 Google Authenticator，为账户增加额外安全层。
及时更新软件：WordPress 核心、插件和主题应及时更新。这些更新通常包含安全补丁，可修复已知漏洞。可在wp – config.php中添加define(‘WP_AUTO_UPDATE_CORE’, true);启用自动更新，或使用 UpdraftPlus 插件在更新前进行完整备份，以防更新导致兼容性问题。
设置文件权限：合理设置文件权限，敏感文件如wp – config.php设置为 400 权限，普通文件设置为 644，目录权限设置为 755，避免使用 777 权限，减少黑客篡改文件的可能性。
隐藏版本信息与修改默认设置：在主题文件夹的functions.php内添加代码，如remove_action(‘wp_head’, ‘wp_generator’);，隐藏 WordPress 版本号，防止黑客根据版本漏洞攻击。修改默认数据库前缀，将wp – config.php文件中的$table_prefix = ‘wp_’;改为其他值，并相应修改数据库表名，增加 SQL 注入攻击难度。
禁用文件编辑功能：在wp – config.php中添加define(‘DISALLOW_FILE_EDIT’, true);，禁用 WordPress 后台的插件和主题编辑器，防止黑客通过管理员账户访问并修改敏感文件。
安装安全插件：使用 Sucuri、Wordfence 等安全插件，定期扫描网站，实时监控文件变化，及时发现并清除恶意代码，还可提供防火墙功能，阻止可疑访问。
启用 SSL 证书：使用 Let’s Encrypt 等免费证书启用 SSL，加密网站连接，防止数据传输过程中被截取或篡改，同时也有助于提升网站在搜索引擎中的排名和用户信任度。
本文来自投稿，不代表首晒立场，如若转载，请注明出处：https://www.shoushai.com/p/1475
