SQL注入解释

黑客可以通过多种方式破解WordPress网站。虽然名为“SQL注入”可能不会为许多WordPress用户敲响警钟，但它实际上是一个相当简单的概念。

WordPress数据库如何工作

要了解其工作原理，让我们快速分解WordPress数据库中发生的事情：

每个WordPress站点都有一个数据库。WordPress安装使用MySQL作为默认数据库管理系统。WordPress使用SQL查询从网站的数据库中检索数据并在前端生成内容。开发人员使用PHP和这些查询来查看，添加，检索，更改或删除数据库中的代码。

但是，您并不总是需要访问WordPress或控制面板才能与数据库建立联系。

黑客如何违反WordPress数据库

SQL注入可以发生在您的站点具有表单元素的任何位置：

通用联系表格登录门户网站博客评论表订阅弹出窗口电子商务结账页面搜索栏等等

表单元素中只有一个漏洞可以打开数据库，直到外人。这是因为数据库捕获WordPress站点上的每个条目。当黑客想要对网站造成严重伤害时，他们所要做的就是输入恶意SQL命令而不是有效的表单条目。

举个例如电话号码这样的字段。

实际上，应将其配置为仅接受遵循目标用户所在国家/地区电话号码结构的数字条目。但是，如果您尚未将字段配置为仅接受确切的响应或插件无法正常工作，则黑客可以在纯文本字段中输入他们想要的任何内容。

SQL注入期间会发生什么？

我们通过两种方式对SQL注入进行分类：

经典SQLi

这些SQL注入会将数据返回给黑客的浏览器。基本上，他们使用表单来查询网站的数据库，就像您或WordPress一样。

这些类型的查询可以泄露有关数据库内部内容的信息，以便窃取敏感信息。它们还可以揭示数据库本身的结构，这使得对网站的攻击变得更加容易。

盲目的SQLi

这些SQL注入根本不返回任何数据。这就是为什么这些都是“盲目”的尝试。相反，黑客将使用此注入来执行数据库中的各种操作（比如删除所有数据）。

毋庸置疑，重要的是不仅要保持严格的WordPress安全协议，还要确保您的表单也得到适当的保护。

WordPress能做些什么吗？

看看SQL注入如何在数据库级别发生，你会认为WordPress会开发出一种对抗它们的方法。事实上，WordPress已经有了。

WordPress使用验证，清理和转义数据的系统：

验证可确保输入的数据符合为其规定的标准。在电话号码示例中，这意味着10个字符的数字将是唯一接受的条目（对于美国访问者而言）。清理使开发人员能够sanitize_text_field()在将条目添加到数据库之前使用该函数从条目中删除任何过多或不允许的字符。转义是用于保护您在网站前端向用户提供的任何数据的过程。

尽管这是一个有效的系统，但它存在一些问题。

首先，WordPress本身并不是100％安全的SQL注入。

2017年10月，WordPress推出了4.8.3安全版。它修补了WordPress中检测到的SQLi漏洞。虽然核心没有受到影响，但插入WordPress的插件或主题当然可能已经存在。

然后，有WordPress插件和主题的一般问题。联系表单插件或使用它们的主题的开发人员必须非常小心它们的编码方式。表单元素中的一个错误可能会将所有用户引入SQL注入漏洞。

但是，由于我们无法控制WordPress的功能，或者开发人员如何编写产品代码，因此我们必须自己动手。这意味着包括某些WordPress安全措施，以帮助避免在我们的网站上进行SQL注入。

如何防止SQL注入以获得更好的WordPress安全性

以下是保护站点免受SQL注入以及提高整体WordPress安全性所需的操作：

1.使用可信的WordPress插件和主题

您必须首先介绍可能首先引入SQL注入的联系表单元素。如果您尚未审查表单功能所来自的WordPress插件或主题，请立即执行此操作。

2.保持一切更新

WordPress很快就解决了CMS中发现的SQL注入风险问题。但是，对于禁用自动WordPress更新的用户以及不自己手动实施这些更新的用户，他们的网站仍然容易受到此类攻击。

无论是WordPress，插件，主题，甚至是您使用的PHP或MySQL版本，您网站生态系统中的所有软件都需要保持最新状态。如果开发人员花时间更新它，那么你有充分的理由在你的最后做同样的事情。现在，如果您担心每天花费太多时间更新您的网站，使用单个仪表板可以更新您的所有网站可能是一个解决方案。

提供ManageWP， MalCare等安全功能的WordPress插件使您可以从仪表板本身更新所有WordPress网站。这意味着您无需登录每个网站即可监控和更新插件，主题或WordPress核心。在您的网站保持安全的同时，您可以节省这些节省的时间来发展业务。

3.限制字段输入类型

查看您网站上的每个表单。是否为特定条目类型配置了每个字段？换句话说，“名称”字段是否仅允许alpha条目？电话号码或信用卡字段是否要求某个格式字符串？如果您的条目允许任何纯文本输入但可以进一步限制，请立即进行更改。

4.清理表单字段

使用sanitize_text_field（）函数自动拒绝表单中的错误或有害条目。WordPress提供了许多方法来执行此操作。

5.更改数据库前缀

如果你要更改数据库的前缀，你可能会更加难以对付黑客。如果更改默认的“wp-”命名约定，那么如果不知道在哪里发起攻击，那么找到数据库凭据的黑客可能很难执行SQL查询。

6.使用WAF

Web应用程序防火墙（WAF）将阻止已知的黑客进入您的站点并进入可以启动SQL注入的位置。GoDaddy的Deluxe和Express网站保护计划包括一个WAF，如果你还没有。

7.记录所有数据库活动

一般来说，要非常小心你给MySQL数据库访问权限。这将减少人为错误或登录凭据错位导致数据库出现问题的可能性。

也就是说，无论谁有权访问，最好保留所有数据库活动的日志。这样，无论何时进行无根据的改变，你都会马上知道。