WordPress是一款非常流行的开源博客系统，但是其安全性却备受质疑。目前最多见的漏洞是WordPress远程代码履行。
甚么是WordPress远程代码履行？
远程代码履行漏洞是指攻击者可以发送歹意代码并在服务器上履行，获得网站管理员的访问权限，乃至在服务器上履行任意命令。在WordPress中，这类漏洞通常产生在主题或插件中。
如何利用远程履行漏洞：
通过使用特殊构造的URL，攻击者可以在WordPress网站上履行任意PHP代码。
https://example.com/wp-admin/admin-ajax.php?action=revslider_ajax_action&client_action=get_captions&slider=[shortcode_inject_here]
攻击者可以在”url”参数中添加任意文件名，并让服务器向它发送GET要求。利用这类漏洞，攻击者可以在PHP代码中履行系统命令或上传任意文件。
如何预防远程代码履行漏洞：
为了预防WordPress远程代码履行漏洞，以下措施是必不可少的：
- 升级至最新版WordPress： 当开发人员发现漏洞时，他们会发布一个修复版的WordPress，及时升级可以免遭到攻击。
- 关闭WordPress的目录列表： 开放目录列表意味着攻击者可以轻松浏览全部目录结构，尝试找到安全漏洞。
- 只使用受信任的插件和主题： 如果一个主题或插件是出自不可靠的来源，则不应使用，这可能会增加安全风险。
- 删除没必要要的文件和插件： 即便不再使用，也应当从服务器中移除。
- 制止使用过于简单的密码： 使用过于简单的密码，可让攻击者轻松通过暴力猜想攻击进入WordPress管理员界面。
结论：
在日趋严峻的网络安全环境下，避免平台漏洞是非常重要的。 WordPress远程代码履行漏洞可能会造成严重的安全要挟，影响站点的可用性和数据的保密性。 为了避免这些攻击，WordPress管理员应当常常更新这个博客平台、浏览器和相关组件。 只有当你在网站中发现了没法自解决的问题时才应当斟酌寻求帮助和建议，遵照安全和扫描最好实践。
