论WordPress的安全防护能力

博客上线已有近三年之久，我们也从WordPress的5.x版本一路更新到了第六个大版本，并期待着版本7的上线

论网络安全，其实就是“无知者无畏”，时至今日的 Satechat 仍然处于一个完全没有任何防护的“裸奔”状态。当然，我们使用了一些最基本的 Cloudflare 防火墙和 PHP 防火墙插件，这当然与专业的 WAF 防火墙无法比拟。

我的其他几个项目，如个人网站和、商业项目和给站长 Hunter 代为托管的个人博客，有部分自己部署了 Web 防火墙，如雷池的开源waf, 还有宝塔的单机waf以及面板集成的付费waf插件。其中一些几乎没什么访问量的网站（域名从注册到搭建都没有进行过推广，甚至理论上不会有任何人知道这个网站的存在）也会每天遭到十几二十个不同ip的扫描式攻击，同时也伴随着一些xss注入的尝试。

既然如此，像是 Satechat 这种树大招风的项目必然是极易成为攻击者的重点关注对象; 更何况我们将整个 WordPress 的原生创作者后台开放给了所有注册用户，这种行为在DDos攻击这看来无疑是一个重大可利用漏洞之一。

心存侥幸，这三年 Satechat 竟然还未被攻陷，回望刚开始运营时插件乱装、没有图床和CDN、也没有备份和防火墙，可谓无知者无畏，傻人有傻福。