WordPress是一個知名的開源內容管理系統(tǒng)（CMS），用于創(chuàng)建網站和個人博客。根據預計，目前有35%的網站使用這一知名CMS，如此之大的比例也使其成為了威脅參與者的理想目標。WordPress平臺存在的一大弱點就是允許攻擊者破壞網站的安全性，而這個弱點會隨著網絡安全形勢的嚴峻而更加惡化。

平時，我們經常可以看到有攻擊者針對CMS平臺發(fā)起攻擊，這已經不再是一個新聞。威脅行為者已經發(fā)現，對網站進行攻擊可以成為一種攻破組織資產的有效手段。這篇文章首先介紹我們在野外觀察到的Payload示例，列舉出針對WordPress的不同類型的攻擊，深入揭秘攻擊者是如何利用非法獲取的管理員訪問權限、API、Alfa-Shell部署和SEO投毒來實現攻擊。

如果沒有保證良好的安全性，易受攻擊的WordPress站點很容易遭到攻擊者的濫用。為了降低被攻擊的風險，我們建議用戶使用雙因素認證（2FA）插件來防止憑據濫用，同時建議掃描未修復的漏洞。用戶和網站管理員可以采用以下防護措施：

1、部署基本的安全防御措施，以減少網站的攻擊面；

2、禁用或刪除過時的或易受攻擊的插件；

3、使用虛擬補丁程序來修復補丁不可用的漏洞，特別是針對需保障業(yè)務連續(xù)性的系統(tǒng)更要關注這一點；

4、應用權限最小化原則；

5、定期將CMS更新到最新版本，包括CMS中使用的插件。