什么是 WordPress 网络钓鱼攻击？

已发表: 2023-06-21

作为黑客武器库中的主要武器，网络钓鱼攻击经受住了时间的考验，在不断发展的网络攻击领域中仍然是持续的威胁。 多年来，黑客一直依靠社会工程的欺骗艺术来利用人类的漏洞并获取敏感信息。

从最初的温和攻击到今天的高度针对性和复杂的攻击，WordPress 网络钓鱼继续对企业和个人造成严重破坏。 此外，WordPress 网络钓鱼的隐蔽性使得及时识别和缓解攻击变得越来越困难。 WordPress 网络钓鱼伪装成合法网页，旨在在雷达下运行，不会引起网站所有者甚至最强大的恶意软件扫描程序的任何怀疑。

在本 WordPress 网络钓鱼攻击指南中，我们将深入研究 WordPress 网络钓鱼的内部运作方式，探索黑客用来欺骗毫无戒心的用户和企业主的常用技术。 我们将为您提供及时缓解网络钓鱼攻击所需的知识，领先攻击者的狡猾计划，并加强您的防御，抵御这一对 WordPress 安全的巨大威胁。

WordPress 网络钓鱼攻击

网络钓鱼攻击是主要的社会工程攻击媒介

网络钓鱼是一个广泛的术语，描述了网络犯罪分子用来获取敏感信息的几种社会工程技术。 这种社会工程攻击媒介源自“钓鱼”一词，重点是使用诱饵诱骗受害者放弃个人身份详细信息，例如用户名和密码。 精心设计的网页形式的诱饵（通常通过电子邮件发送）足以欺骗毫无戒心的个人并引诱他们落入陷阱。

网络钓鱼攻击旨在引起紧迫感，操纵受害者立即采取行动，而不检查请求的合法性。 网络犯罪分子会激发目标个人的冲动反应，试图扭曲受害者的理性思维，并利用在紧急情况下快速反应的自然倾向。 攻击者的主要目标是创造一种情况，使受害者在没有完全意识到的情况下自愿泄露个人信息或执行其他有害行为。

时间敏感的情况（例如严重的安全威胁或有限的报价）为网络钓鱼攻击提供了完美的基础。 例如，用户可能会收到一封电子邮件，提示他们因帐户密码泄露而重置帐户密码。 该电子邮件看起来来自受信任的来源，并且包含指向与受害者主动使用的合法服务的登录页面相同的网页的链接。 人们几乎不知道他们输入的登录详细信息将直接发送给攻击者。

易于执行和高成功率使网络钓鱼仍然是领先的社会工程攻击媒介，也是用于凭据收集的最常用技术之一。

网络钓鱼者寻求的信息

网络钓鱼者正在寻找各种敏感的用户可识别详细信息，这些信息可以帮助他们冒充个人或进行身份盗窃。 网络钓鱼攻击只是利用敏感数据进行各种形式的恶意利用的门户。 网络钓鱼攻击旨在获取的最常见信息类型之一包括：

  • 用户凭据。 帐户凭据（例如用户名和密码）是网络钓鱼攻击的主要目标。
  • 信用卡细节。 为了追求经济利益，黑客可以窃取信用卡信息，随后通过刷卡攻击验证收集到的数据。
  • 个人身份信息。 这包括社会安全号码、地址和电话号码等详细信息。
  • 财务信息。 收集银行帐号和网上银行凭证可让网络犯罪分子进行欺诈交易。

正如您所看到的，网络钓鱼是黑客工具箱中一个高度通用的工具。 利用社会工程技术，网络犯罪分子可以轻松获取敏感信息，而无需涉及任何复杂的计划。

从创建到分发：了解网络钓鱼攻击的执行

网络钓鱼攻击的执行通常涉及两个阶段：创建欺骗性网络钓鱼页面并将其分发给潜在受害者。 在第一阶段，网络犯罪分子选择攻击目标并努力创建可信的网络钓鱼场景。 第二阶段致力于寻找向受害者提供诱饵的最佳方式，并通过定制社会工程尝试使其显得合法且诱人，最大限度地提高攻击成功的机会。

选择受害者

攻击者根据各种因素选择网络钓鱼尝试的目标，其中包括可以获得的信息的潜在价值以及成功欺骗受害者的机会。 影响网络钓鱼攻击决策的关键因素之一是攻击者为实现最终目标而寻求的访问级别。

选择攻击方法

网络犯罪分子可能有不同的动机，从通过访问其帐户来欺骗个人用户，到获取管理权限，使他们能够控制目标服务并危害整个系统。 所需访问的范围决定了他们的策略并决定了网络钓鱼攻击中使用的具体策略。 根据攻击者的目标，三种主要的网络钓鱼攻击是大规模网络钓鱼、鱼叉式网络钓鱼和捕鲸。

  • 大规模网络钓鱼。 大规模网络钓鱼攻击是针对知名组织或服务的大量用户的大规模活动。 为了欺骗尽可能多的受害者，攻击者撒下了广泛的网络，希望至少有一些用户会落入骗局并泄露他们的帐户凭据和其他个人信息。
  • 鱼叉式网络钓鱼。 鱼叉式网络钓鱼攻击更具针对性和针对性，因为攻击者会仔细选择特定的个人或组织作为目标。 网络犯罪分子进行广泛的研究来收集有关受害者的信息，并利用这些知识开发高度个性化的方法。
  • 捕鲸。 捕鲸是鱼叉式网络钓鱼的放大版本，针对具有重要组织访问权限和权威的知名人士。 捕鲸网络钓鱼攻击通常旨在诱骗受害者披露敏感的公司信息或授权欺诈交易。

选择受害者后，攻击者就会创建与目标网站或服务（例如网上银行门户、社交媒体平台、云存储或电子邮件提供商）的登录页面非常相似的网页。 此类欺诈性网页旨在复制合法网站或在线服务的外观和功能，以欺骗用户相信他们正在与可信资源进行交互。 通过创建静态网页并包含从合法资源复制的样式表、图像和其他视觉元素，网络犯罪分子使网络钓鱼页面看起来与它们没有区别。

网络钓鱼攻击分布

创建精心设计的网络钓鱼页面后，必须将其分发给攻击的受害者。 欺诈性页面会上传到攻击者控制的网络资源，可能是受感染的网站，也可能是专门为此目的而设置的网站。 随后，欺诈内容通过各种渠道传播，包括电子邮件和消息平台。

域名欺骗

网络犯罪分子经常注册与合法服务相似的域名，以使网络钓鱼页面更具说服力，这是一种通常称为域名欺骗的恶意技术。 利用域名欺骗通常会提高网络钓鱼攻击的成功率，使欺诈网页显得更加诱人和可信。

尽管域名欺骗很有效，但它会带来黑客通常希望避免的额外成本。 使用被黑客攻击的网站来举办网络钓鱼活动或获取免费域名并利用提供免费试用的托管平台会更便宜，并有助于攻击者更好地隐藏其身份。

电子邮件欺诈

分发网络钓鱼活动最常用的方式之一是电子邮件。 作为最流行的通信渠道之一，电子邮件提供了广泛的自定义选项，允许攻击者操纵网络钓鱼电子邮件的外观来创建视觉上令人信服的请求。 此外，电子邮件帐户相对容易从公共来源获得，这消除了侵入私人数据库的需要。

什么是 WordPress 网络钓鱼？

WordPress 网络钓鱼涉及利用 WordPress 网站作为网络钓鱼攻击的主机或分发渠道，或将 WordPress 网站所有者作为主要受害者。

WordPress 网络钓鱼攻击非常灵活，这使得它们能够成为实现各种恶意目标的有效工具。 攻击者可以利用社会工程技术来欺骗您的客户并获取 WordPress 管理员凭据，从而使他们能够控制您的网站并将其用作促进进一步攻击的平台。

WordPress 网络钓鱼攻击的 3 种主要类型以及如何防御

WordPress 网络钓鱼包括三种主要类型的攻击，可能会在不同时间影响您的 WordPress 网站。 让我们来看看黑客如何利用您的 WordPress 网站并使用社交工程来攻击您和您的客户。

针对企业主的 WordPress 网络钓鱼攻击

黑客经常使用网络钓鱼攻击来获取对 WordPress 网站的未经授权的访问。 使用社会工程技术无需识别和利用 WordPress 漏洞即可控制网站。 相反，攻击者会试图操纵您泄露您的 WordPress 管理员凭据或执行其他有害操作，从而使您的网站和潜在的个人设备遭受恶意利用。

虚假升级通知和安全警报

黑客最常用的技术之一是使用虚假的 WordPress 更新警告或安全通知，促使网站所有者迅速采取行动，试图降低安全风险。 精心设计的警告会发送到 WordPress 用户的邮箱，给人的印象是它们是从 WordPress 发送的。

在这种类型的 WordPress 网络钓鱼攻击中，黑客经常采用电子邮件欺骗技术，操纵消息来源的电子邮件地址，并在 URL 中合并看似合法的链接，其中包含您的 WordPress 网站的域名。 网站所有者应该单击该链接来安装更新或解决漏洞。 实际上，他们将通过精心设计的涉及会话劫持的跨站点请求伪造向攻击者授予对其网站的访问权限。 这些 WordPress 网络钓鱼电子邮件具有极高的可信度，加上它们可能造成的破坏性后果，使得此类 WordPress 网络钓鱼攻击最为危险。

WordPress 永远不会要求您更新软件

默认情况下，WordPress 不会发送任何有关待处理的核心、插件或主题更新或未修补的漏洞的通知，但您仍会收到来自 WordPress 站点的一些警告消息。 请务必仔细检查每封电子邮件，特别注意发件人的地址和随附的链接。 所有通知都将显示在您网站的 WordPress 管理区域中，因此最好登录并手动检查任何更新或配置自动软件更新和漏洞修补。

iThemes Security Pro 将负责您的 WordPress 核心、插件和主题更新。 高级漏洞扫描将自动识别并解决您的 WordPress 网站上由过时软件引起的任何安全漏洞，并在有任何需要您注意的情况时通知您。 基于密钥的双因素身份验证或无密码身份验证，再加上强大的会话劫持保护，将消除攻击者控制您的 WordPress 网站的可能性，即使使用正确的凭据也是如此。

针对您的客户的 WordPress 网络钓鱼攻击

WordPress 网络钓鱼攻击不仅威胁您的网站和您作为企业主，还威胁您的网站访问者和客户及其用户帐户。 黑客可能不会从您网站的数据库中窃取敏感的客户信息，而是会尝试诱骗您的客户将其用户凭据和个人详细信息输入到模仿您网站合法登录页面的欺骗性网页中。 此外，攻击者可以将网络钓鱼尝试伪装成销售公告、独家个人折扣以及各种其他形式的个性化通信。

检测针对客户的持续网络钓鱼攻击几乎是不可能的，这使他们容易受到潜在威胁。 此外，保护个人信息免遭社会工程攻击的主要责任在于客户自己。

保护客户数据免受 WordPress 网络钓鱼攻击的最佳方法是对用户帐户实施强密码规则和多因素身份验证。 始终维护有效的 SSL/TLS 证书，确保传入和传出 WordPress 网站的数据的安全性。 安装由受信任的证书颁发机构签名的 SSL/TLS 证书可在您的网站及其访问者之间创建安全的通信通道，对登录凭据和财务数据等敏感信息进行加密。

此外，您应该严格限制客户对您的 WordPress 网站的访问级别，以确保他们仅拥有其预期操作所需的必要权限。 这是限制帐户级泄露可能造成的潜在损害的关键。

您的 WordPress 网站作为托管和分发网络钓鱼攻击的平台

WordPress 网站最常用作 WordPress 网络钓鱼攻击中网络钓鱼活动的渠道，提供用于托管欺诈性网页或促进其通过电子邮件分发的服务器资源。 您的 WordPress 网站仅用作进行网络钓鱼攻击的平台，与欺诈活动没有任何内在联系。

如果 WordPress 网站遭到入侵，它很可能会被用来举办网络钓鱼活动。 它会损害您的声誉，并可能因您的 WordPress 网站被列入 Google 黑名单并随后被标记为欺骗性网站而造成流量下降，从而导致重大财务损失。

被黑客入侵的 WordPress 网站被广泛用于发起不同类型的网络攻击，而不仅仅是网络钓鱼。 恶意软件分发、暴力攻击和拒绝服务经常通过高度分布式的方法进行，利用受感染网站和服务器的大型网络。 这种由受感染端点组成的网络（称为僵尸网络）扩大了网络攻击的规模和影响，使其成为黑客武器库中的强大武器。

网站安全很重要。 保护您的 WordPress 网站免遭用作托管和分发网络钓鱼和恶意软件的平台需要采取多方面的网站保护方法。 实施强大的深度防御策略来增强 WordPress 网站的安全性对于有效防止网站级泄露和后续数据泄露至关重要。 通过整合多层安全机制和控制，您可以创建一个强大的防御系统，充当保护您的网站免遭利用的屏障。

隐藏在众目睽睽之下：为什么恶意软件扫描程序无法识别网络钓鱼

由于其隐蔽性，网络钓鱼攻击对 WordPress 网站所有者构成了重大威胁。 一旦 WordPress 网络钓鱼攻击上传到您的网站，识别和删除欺诈性网页就会变得具有挑战性。 WordPress 网络钓鱼攻击的设计目的是隐秘的。 网络钓鱼页面模仿合法网页并利用相同的视觉元素和布局，可能分散在多个目录中或隐藏在看似无害的文件中。 这使得它们的检测成为一个复杂且耗时的过程，即使对于经验丰富的 WordPress 用户也是如此。

在处理网站入侵和恶意软件感染时，网站所有者通常会使用恶意软件扫描程序作为清理 WordPress 网站的宝贵工具。 尽管现代恶意软件扫描程序已被证明在识别混淆代码、代码注入和恶意重定向方面不可或缺，但它们在检测网络钓鱼攻击方面往往表现不佳。 这是因为网络钓鱼页面通常不包含任何传统形式的恶意代码，并且恶意软件扫描程序缺乏区分此类欺诈页面与网站合法内容的能力。

如何从您的网站中删除 WordPress 网络钓鱼？ 3 个主要步骤

由于无法依靠恶意软件扫描程序来识别 WordPress 网络钓鱼攻击，因此从您的网站中删除欺诈性网页成为一个艰苦且主要是手动的过程。 您将需要手动检查您的网站文件并精确、仔细地检查所有脚本。 请按照以下三步流程简化并加快检测和删除 WordPress 网站中的网络钓鱼攻击。

请注意，您需要充分了解 WordPress 以及管理网站组件所需的工具。 使用 WordPress 文件和数据库表可能具有挑战性，尤其是在手动扫描网站是否存在网络钓鱼和恶意软件时。 iThemes 培训旨在让您掌握有效管理 WordPress 网站所需的基本知识和技能。

步骤 1. 检查您的 WordPress 网站的文档根目录中是否有任何名称可疑的目录

WordPress 网络钓鱼攻击最常见于网站文档根目录内的单独文件夹中。 网络钓鱼页面通常以 .zip 或类似格式的文件存档的形式上传到 WordPress 网站。 上传后，压缩文件将被提取到包含多个组件的专用目录中，包括 HTML 或 PHP 页面、CSS 样式表和图像。

将欺诈性内容组织在隔离目录中可以让攻击者将其与您通常在 WordPress 网站上看到的内容分开。 令人惊讶的是，当黑客为 WordPress 网络钓鱼攻击创建专用文件夹时，他们并没有试图隐藏它们，而恶意后门通常就是这种情况。 此类目录的名称通常与网络钓鱼页面试图模仿的合法服务非常相似。

如果您怀疑您的 WordPress 网站已上传网络钓鱼攻击，请检查网站根目录中的文件和文件夹。 存档文件的存在通常表明您无法识别的目录的恶意性质。

步骤 2. 查看wp-content目录以及各个插件和主题文件夹的内容

尽管将 WordPress 网络钓鱼攻击放在网站文档根目录的专用目录中是一种常见做法，但攻击者通常会采用更复杂的方法来试图隐藏欺诈性网页的存在。 WordPress 内容目录以及其中的特定主题和插件文件夹是 WordPress 网络钓鱼攻击的绝佳隐藏点。

彻底检查 WordPress 网站的wp-content目录中的各个插件和主题文件夹。 查找似乎不属于 WordPress 核心或原始插件或主题包一部分的可疑文件，特别是如果它们具有不寻常的名称或扩展名。 密切关注 PHP 脚本和 HTML 文件，并注意任何可能表明存在 WordPress 网络钓鱼攻击的差异。

步骤 3. 扫描您的 WordPress 网站是否存在恶意重定向

除了将 WordPress 网络钓鱼上传到您的网站并将其用作托管欺诈性网页的平台之外，黑客还可能将恶意重定向合并到合法文件中，以便在您的网站访问者不知情或同意的情况下将其转移到恶意内容。

识别和删除恶意重定向需要彻底检查 WordPress 网站的文件和数据库数据。 首先检查 WordPress 安装中的文件，包括文档根文件夹中的 .htaccess 和主 index.php 文件。 查找任何可能启动重定向或修改某些网站元素行为的可疑代码。

此外，检查您的 WordPress 数据库中是否有任何可能促进恶意重定向的代码。 请密切关注“wp_options”表，因为它是攻击者寻求将您的网站访问者重定向到网络钓鱼活动的常见目标。 在wp-options表中查找包含不熟悉的域名或包含您不认识的重定向规则的可疑条目。

使用 iThemes Security Pro 保护您的网站免受 WordPress 网络钓鱼

WordPress 网络钓鱼攻击仍然是一个可怕的安全威胁，可能会严重影响企业主及其客户。 WordPress 网络钓鱼的隐蔽性使其难以识别，因为攻击者采用日益复杂的技术将社会工程尝试伪装成合法请求，从而引发紧迫感。 攻击者精心制作令人信服的消息并创建看似可信且与合法服务的外观非常相似的欺诈性网页。 所有这些都有助于网络犯罪分子操纵毫无戒心的受害者泄露敏感信息。

每个网站所有者的主要责任之一是确保其网站免受恶意内容和网络钓鱼攻击，从而提供安全的用户体验。 采取主动的网站安全措施对于保护您的 WordPress 网站及其访问者免受数据泄露和恶意软件感染的破坏性后果至关重要。

iThemes Security Pro 和 BackupBuddy 提供了全面的安全套件，旨在保护 WordPress 网站免遭利用作为发起网络钓鱼攻击和分发恶意软件的滋生地。 凭借先进的漏洞扫描、多因素身份验证、文件完整性监控和灵活的备份，这些插件可确保采取主动的方法确保 WordPress 网站安全，让您在无情的网络攻击面前保持领先一步。

保护 WordPress 安全的最佳 WordPress 安全插件

WordPress 目前为超过 40% 的网站提供支持，因此它已成为恶意黑客的容易目标。 iThemes Security Pro 插件消除了 WordPress 安全性中的猜测，使您可以轻松保护您的 WordPress 网站。 这就像拥有一名全职安全专家，持续为您监控和保护您的 WordPress 网站。

获取 iThemes Security Pro