WordPress SQL 注入：完整保护指南
已发表: 2023-04-19由于所谓的“SQL 注入”，您每天都在从 WordPress 站点失去流量、收入和客户的信任。
为什么？
很简单——一些黑客认为窃取您的业务流量并引导他们：
- 成人网站；
- 非法毒品网站；
- 宗教广告；
- 或其他一些恶意网站
它会让您的网站在 Google 上被列入黑名单。 由于前面的欺骗性网站、该网站可能在搜索结果中被黑客攻击等警告，您也会失去客户和社区的尊重。
最糟糕的部分？
这个无名无姓的黑客认为您对此无能为力。
您的网站现在受到奇怪的弹出窗口、重定向、垃圾关键字和 403 错误的困扰。
十多年来，我们已经与超过一百万个 WordPress 网站合作，并且一直遇到这些黑客攻击。
我们已经帮助从数百个网站中删除了 WordPress SQL 注入恶意软件，以免它损坏网站。
在本文中，我们将向您展示如何摆脱这种黑客攻击，并尽快让您的网站恢复到原来的状态。
TL;DR ：要从您的站点中删除 SQL 注入，请安装 MalCare。 它会在 60 秒内清理您的网站。 然后使用 MalCare 的安全强化功能增强您的安全性。 这将使您的网站免受未来的 SQL 注入攻击。
黑客机器人旨在在几分钟内执行数百次 SQL 注入尝试。
一次成功的尝试将毁掉您的网站。
如果您的防火墙或安全插件检测到数十次 SQL 注入攻击，您的网站很可能已经被黑客入侵。
如果不是，那么你很幸运。
那么，您如何确定您的网站是否已被黑客入侵？
如果是，那么您如何删除恶意软件？
别担心，我们将向您展示检测和清除站点上的 SQL 注入攻击所需采取的确切步骤。
但在我们深入探讨之前，最好尝试了解什么是真正的 SQL 注入攻击。 但是，如果您迫切需要检查您的站点是否受到感染，请跳至此部分。
什么是 SQL 注入攻击？
您的 WordPress 网站使用数据库来管理帖子、页面、评论等数据。所有这些数据都以有组织的方式存储在数据库表中。
黑客通过执行 SQL 注入攻击来访问您的数据库。
但是为什么有人要访问您的数据库呢？
好问题。
当黑客试图侵入您的网站时，他们要么打算窃取敏感数据（如登录详细信息和信用卡信息），要么破坏您的网站。
如果恶意代码被插入到您的数据库中以获取数据，则称为带内 SQL 注入。 但是，如果意图是通过从数据库中删除内容来损害您的站点，则称为盲 SQL 注入攻击。
我们知道您在想什么——为什么将其称为 SQL 注入攻击？
为了让您的网站将数据存储在数据库中，它需要能够与数据库进行交互。 SQL 是您的站点用来在数据库中添加、更新、删除和搜索数据的一种语言。 黑客使用相同的语言来尝试破解数据库。
他们利用您网站上的输入字段（如联系表或搜索栏）将恶意脚本注入数据库。 因此，它被称为 SQL 注入攻击。
如何从您的 WordPress 站点中删除 WordPress SQL 注入
您是否遇到以下任何情况：
- 在几分钟内从您的联系表中收到数百封电子邮件。
- 重定向到可疑网站的广告。
- 一些页面上出现奇怪的弹出窗口，而其他页面上出现错误。
这些是 SQL 注入攻击的常见症状。
也就是说，这种类型的黑客可能并不真正可见。 黑客入侵您的网站可能只是为了窃取信息。 他们不需要对您的站点进行任何修改。
因此，尽管您的网站看起来非常正常，但它仍可能遭到黑客攻击。 您需要扫描您的网站才能确定。
有很多扫描仪可供选择。 也就是说，许多扫描插件无法检测到新的、复杂的或极其隐蔽的恶意软件。 我们推荐 MalCare，因为它遥遥领先。 就是这样：
- MalCare 不依赖模式匹配来查找恶意代码。 相反，它配备了评估代码行为的智能信号。 这使插件能够检测新的和复杂的恶意代码。
- 它不仅扫描 WordPress 文件，还扫描数据库。 它会查看每个角落以查找恶意代码或恶意软件。
- 它在自己的服务器上执行扫描，以确保您的网站不会超载。
- 该插件将每天自动扫描您的网站。 它只会在发现任何恶意软件时通知您。
要使用 MalCare 检测黑客攻击，您需要执行以下步骤：
第 1 步：注册 MalCare 的 WordPress 恶意软件扫描程序。 在您的网站上安装并激活插件。 然后将您的站点添加到 MalCare 的仪表板。
它将立即在您的站点上运行扫描。
如果它检测到您的网站被黑客入侵，它会通知您。
您可以继续使用相同的工具清理您的网站。
你们中的许多人可能正在考虑恢复备份以清除感染。 这行不通。 恢复备份只会替换现有文件，不会删除黑客添加的恶意文件。
公平警告：虽然扫描器是免费的，但 MalCare 的恶意软件清除是一项高级功能。 您将需要升级以清理您的站点。
要清理黑客，只需按照以下说明操作：
第 2 步：一旦 MalCare 检测到您的网站被黑客入侵，它会在自己的仪表板上通知您。
在通知下方，您应该会看到一个自动清理按钮。 点击它。
第 3 步：接下来，您需要输入您的 FTP 凭据。 如果您不知道它们是什么或如何找到它们，本指南和这些视频会有所帮助。
第 4 步：接下来，系统会要求您选择存储 WordPress 网站的文件夹。 通常，它是 public_html 文件夹。
一些网站所有者出于安全考虑将他们的网站移动到不同的位置。 因此，如果您正在维护客户网站，那么最好验证该网站是否确实位于 public_html 文件夹中。
选择文件夹后，MalCare 将开始清理您的网站。
他们需要几分钟时间才能从您的网站中删除恶意软件。
除了 MalCare，还有许多其他安全插件可以帮助您检测和清理您的网站。 这些是 Wordfence、WebARXSecurity、Astra Security、Sucuri 等。您可以试用其中任何一个。
WordPress 如何处理 SQL 攻击？
多年来，WordPress 竭尽全力尝试保护数据库免受 SQL 注入攻击。
为了保护 WordPress 站点免受此类攻击，输入字段必须先验证用户提供的数据，然后再将其插入数据库。
WordPress 有一个函数列表，可以清理输入字段中插入的数据，从而使恶意脚本无法插入。
然而，WordPress 网站非常依赖主题和插件。 SQL 注入是通过使用易受攻击的主题和插件进行的。 下一节将详细介绍这一点。
SQL注入攻击是如何进行的？
黑客可以利用您网站上存在的漏洞访问您的网站。
在 SQL 注入攻击的情况下，黑客利用您网站输入字段（如联系表单、登录框、注册框、评论部分，甚至搜索栏）中的漏洞将恶意 PHP 脚本插入数据库。
这是否意味着输入字段很危险？
答案是肯定的，也不是。
评论和联系表格等输入字段由插件或主题提供支持。 与任何其他软件一样，插件和主题会产生漏洞，然后被黑客利用这些漏洞进行 SQL 注入攻击。
不可能确保插件和主题跟随 WordPress 在防止 SQL 注入攻击方面的脚步。
我们以一个表单插件为例。
插入表单插件的信息在存储到数据库之前应该首先被验证和清理。
但为什么要验证和消毒？
数据验证：它确保以特定格式接收数据。 接受电话号码的表单插件应确保访问者只插入数字字符。
数据清理：它确保您不会插入超过需要的数据。 表单插件应限制访问者插入超过 10 个字符。
如果插件不检查访问者输入，那么很容易在表单中插入一串恶意代码。
该表单会将此数据存储到您的数据库中，从而使黑客可以访问该数据库。
对于大多数 WordPress 用户来说，不可能知道他们网站上安装的插件或主题是否仔细过滤了用户提供的数据。
也就是说，您可以通过多种方式确保您的网站免受未来的 SQL 注入攻击。 要了解有关保护您的网站免受再次感染的更多信息，请跳至此部分。
SQL 注入攻击对您站点的影响
成功的 SQL 注入攻击的后果是丑陋的。 您可能最终会遇到以下任何或所有后果：
1. 敏感数据丢失
您一定听说过 Yahoo、Twitter、Adobe 等公司的数据泄露导致数百万帐户遭到破坏。
您的网站不像 Twitter 那样大，但它包含敏感信息，如果这些信息被盗，将导致严重的问题，例如背信弃义、名誉受损，甚至会受到法律影响。
电子商务网站可能会窃取财务记录，医疗网站可能会窃取健康记录，等等。
黑客可以选择在线出售这些记录或索要赎金。
2.网站数据丢失
一旦网站遭到破坏，黑客最担心的就是被抓到。
这就是为什么，他们小心翼翼地穿梭于现场，悄悄地开展活动。
但有时，他们最终可能会修改数据库。 他们可能是一个错误，最终删除了一条信息。 或者它可能是蓄意行为，目的是破坏您的网站。
结果，您丢失了网站内容。
3. 违反信任和声誉损害
数据泄露将影响您的客户如何看待您的业务，以及他们是否想继续依赖您的业务。
2018 年的 Cambridge Analytica 数据泄露丑闻促使人们删除了他们的 Facebook 帐户。
当客户发现您未能保护他们的健康或财务记录时，他们不太可能愿意与您做生意。
您可能要为数据丢失承担法律责任，这肯定会损害您的声誉。
4. 谷歌黑名单和托管暂停
黑客尽最大努力不被抓住。 他们小心翼翼地秘密开展活动。
通常没有明显的黑客入侵迹象。 因此，您可能需要一段时间才能知道您的网站被黑了。
搜索引擎和托管服务器可以快速发现 WordPress 站点中的恶意活动。 当他们这样做时，他们会迅速暂停您的网站以保护他们自己的用户并阻止他们访问您的网站。
5.清洁费用
清理被黑网站绝非易事。 你不能手动完成。
您可以求助于专门的服务，但这是一件昂贵且耗时的事情。
如果您继续受到感染，我们希望您有足够的财力来支付起球费用。
幸运的是，像 MalCare 这样的安全服务可为您提供每年 99 美元的无限清理单个站点。 查看 MalCare 的定价（如果您还没有的话）。
如何保护您的网站免遭再次感染？
由于插件或主题中的漏洞，您的 WordPress 网站遭到黑客攻击。
清理站点后，您需要采取措施阻止黑客攻击以防止再次感染。
1. 谨慎选择主题和插件
在您的网站上安装主题或插件之前，请阅读用户的评论。
如果该工具已经开发出导致网站被黑客入侵的漏洞，请不要使用它。
一个构建良好的工具不太可能经常开发漏洞。
即使它出现了，它也由一组负责任的开发人员维护，他们会迅速发布更好的版本。
这将确保您的网站安全。
2. 保持网站更新
SQL 注入攻击之所以成功，是因为主题、插件或核心中存在漏洞。
该漏洞使黑客能够将恶意代码注入网站并获得对数据库的访问权限。
可以通过应用更新来修复此类漏洞。
当开发人员了解到他们的工具中存在漏洞时，他们会以更新的形式发布补丁。
如果您应用该更新，您的网站将免受 SQL 注入攻击。
保持主题、插件甚至核心更新很重要。
专业提示：确保启用了WordPress 自动更新。 早在 2017 年，WordPress 就推出了修补 SQL 漏洞的更新。 但是，仍然有很多网站因为自动更新被禁用而遭到黑客攻击。
3.更改数据库表前缀
这将使黑客更难访问数据库。
想知道如何？
您的数据库中有以“wp_”开头的表
更改前缀将使查找表变得更加困难。
专业提示：第一步是备份您的网站。 不要跳过此步骤。 在站点后端进行任何修改都是危险的。 如果出现问题，您将拥有您网站的副本以供参考。
> 通过您的主机账户访问您的 wp-config 文件。
> 只需登录您的主机帐户并转到cPanel > 文件管理器。
> 找到wp-config.php文件并打开它。
> 从句子$table_prefix = 'wp_'; 将 wp_ 替换为其他内容。 保存并退出。
4.使用防火墙
防火墙可以保护 WordPress 网站免受黑客攻击。
它会调查访问您网站的每个人，并阻止那些有恶意活动记录的人。
像 Astra Security 这样的防火墙将分析用户输入以检测和防止 SQL 注入攻击。
如果您使用 MalCare 清理您的网站，那么您不必担心安装防火墙插件。 MalCare 防火墙自动阻止恶意流量。
接下来是什么？
一个 WordPress 网站由一个数据库和几个文件组成。
就像数据库一样，WordPress 文件也容易受到黑客攻击。
您需要采取措施保护它们免受黑客和机器人的侵害。 这里有一个指南可以帮助您做到这一点 – 如何保护 WordPress 网站。
虽然您可以采取许多安全措施，但您不能错过的一个步骤是使用安全插件。
像 MalCare 这样的安全插件会每天扫描您的网站，如果它被黑客攻击会立即通知您，它会帮助您在 60 秒内清理网站，并确保您的网站免受未来的黑客攻击。
使用MalCare 安全插件保护您的站点 24×7