WordPress 站長注意，請時常檢查自家網站根目錄下的檔案列表，是否出現如下所示以 wp-config 檔案為主體的各種延伸檔名以及副檔名。
近來檢查系統後台時，發現國外駭客集團正積極地大量掃描 WordPress 網站根目錄下的 wp-config 相關檔案。由於該檔案存有整個系統最重要的資料庫安全資訊以及各種重要網站設定，推測可能是 WP 漏洞被人利用的一個空窗期。
下面是被掃描過的 wp-config 相關檔案名稱，有根據 wp-config.php 原始檔案延伸名稱的，也有更改副檔名、備份等組成結構。
WordPress 安全漏洞疑慮 wp-config 相關檔案
- wp-config-good
- wp-config_good
- wp-config.good
- wp-config.phporiginal
- wp-config.php-original
- wp-config.php_original
- wp-config.php.original
- wp-config.php_orig
- wp-config.php.orig
- wp-config.php_
- wp-config.php~
- wp-config.php.save
- wp-config.php.backup
- wp-config.php.bak
- wp-config.php.old
- wp-config.php.new
- wp-config.bak
- wp-config.php.disabled
- wp-config.php.swp
不用來路不明的佈景主題（Themes）以及外掛程式（Plugin），裝有至少一種安全防護程式（例如：Wordfence），都能最大化提高網站安全防護。
另外時常檢查網站目錄，熟悉基本的檔案名稱與數量，讓自己一眼就能看出哪些檔案是可疑的，找出多餘的備份與陌生檔案（前提是有其他安全備份以及不影響網站運作），沒有必要留存的檔案直接移除，這些舉動都能進一步提高網站安全性（前提是建立正確觀念）。
發佈留言