WordPress 安全：Nginx 配置深度防护指南
各位听众，大家好。今天我们来深入探讨如何通过配置 Nginx Web 服务器，为 WordPress 网站构建一道坚实的安全防线。WordPress 作为全球最流行的 CMS，其安全性一直是开发者和运维人员关注的焦点。虽然 WordPress 核心团队持续发布安全更新，但Web 服务器的配置同样至关重要，它直接影响到网站的整体安全态势。本讲座将从多个角度剖析 Nginx 配置的最佳实践，帮助大家最大程度地提升 WordPress 网站的安全性。
一、隐藏 WordPress 指纹信息
攻击者在渗透测试的第一步往往是收集目标网站的信息，包括使用的 CMS 版本、插件、主题等等。 隐藏这些信息可以增加攻击难度，减小攻击面。
-
移除 WordPress 版本信息:
WordPress 默认会在 HTML 头部和 RSS feed 中暴露版本信息。我们需要禁用这些信息。
-
方法一：移除 HTML 头部版本信息
在主题的
functions.php文件中添加以下代码：<?php remove_action('wp_head', 'wp_generator'); ?>这段代码的作用是移除
wp_head钩子上的wp_generator函数，该函数负责生成 HTML 头部中的 WordPress 版本信息。 -
方法二：移除 RSS feed 版本信息
同样在
functions.php文件中添加以下代码：<?php function remove_rss_version() { return ''; } add_filter('the_generator', 'remove_rss_version'); ?>这段代码的作用是过滤
the_generator钩子，将默认的 RSS feed 版本信息替换为空字符串。
-
-
阻止目录浏览:
防止攻击者通过目录浏览来发现网站结构和敏感文件。 在 Nginx 配置文件中添加以下指令：
autoindex off;这条指令会禁用 Nginx 的自动索引功能，当用户访问一个没有索引文件的目录时，会返回 403 Forbidden 错误，而不是显示目录内容。
-
移除 Server 头部信息:
默认情况下，Nginx 会在 HTTP 响应头中暴露服务器版本信息，例如
Server: nginx/1.21.6。我们可以通过修改 Nginx 配置来移除或修改这个信息。在
nginx.conf或虚拟主机配置文件中添加以下指令：server { ... server_tokens off; ... }server_tokens off;指令会禁用 Nginx 的版本信息。 如果你想自定义 Server 头部信息，可以使用more_set_headers模块：http { ... more_set_headers 'Server: MyCustomServer'; ... }注意： 使用
more_set_headers模块需要先安装ngx_http_headers_more_module模块。
二、限制对敏感文件的访问
WordPress 网站包含一些敏感文件，例如 wp-config.php、.htaccess (如果使用了 Apache) 和 .git 目录（如果使用了 Git 进行版本控制）。 阻止对这些文件的直接访问至关重要。
-
阻止访问
wp-config.php:wp-config.php文件包含数据库连接信息，如果泄露，后果不堪设想。 在 Nginx 配置文件中添加以下指令：location ~* wp-config.php { deny all; }这条指令使用正则表达式匹配
wp-config.php文件，并拒绝所有访问。 -
阻止访问
.htaccess:虽然 Nginx 不使用
.htaccess文件，但为了安全起见，最好也阻止对它的访问。location ~ /.ht { deny all; }这条指令会阻止访问所有以
.ht开头的文件，包括.htaccess和.htpasswd。 -
阻止访问
.git目录:如果你的 WordPress 网站使用了 Git 进行版本控制，那么
.git目录包含了项目的完整历史记录。 泄露.git目录可能会导致源代码泄露。location ~ /.git { deny all; return 404; }这条指令不仅会拒绝访问
.git目录，还会返回 404 错误，以隐藏目录的存在。 -
阻止访问其他敏感文件和目录：
location ~* /(wp-admin|wp-login.php|xmlrpc.php|wp-content/plugins/.*?/readme.txt) { deny all; }这条指令会阻止访问常见的WordPress敏感文件，如后台，登陆页面，xmlrpc，以及插件的readme.txt文件。
三、防御常见的 Web 攻击
WordPress 网站容易受到各种 Web 攻击，例如 SQL 注入、跨站脚本攻击 (XSS) 和恶意文件上传。 通过配置 Nginx 可以有效防御这些攻击。
-
防止 SQL 注入:
SQL 注入是指攻击者通过构造恶意的 SQL 查询语句来操纵数据库。 虽然 WordPress 核心和插件通常会对用户输入进行过滤，但通过 Nginx 添加额外的保护层可以增强安全性。 一个常用的方法是限制请求参数的长度，防止攻击者提交过长的恶意 SQL 语句。
client_max_body_size 2m;这条指令限制了客户端请求体的最大大小为 2MB。 你可以根据实际情况调整这个值。
注意： 这种方法并不能完全防止 SQL 注入，但可以有效阻止一些简单的攻击。 关键还是要确保 WordPress 代码和插件的安全性。
-
防止 XSS 攻击:
XSS 攻击是指攻击者通过在网站上注入恶意脚本来窃取用户 Cookie 或执行其他恶意操作。 通过配置 Nginx 可以添加 HTTP 头部来增强 XSS 防护。
add_header X-Content-Type-Options "nosniff"; add_header X-Frame-Options "SAMEORIGIN"; add_header X-XSS-Protection "1; mode=block";X-Content-Type-Options "nosniff"：阻止浏览器根据内容猜测文件类型，强制浏览器按照 Content-Type 头部指定的类型来解析文件，防止恶意文件被当作脚本执行。X-Frame-Options "SAMEORIGIN"：防止网站被嵌入到其他网站的 iframe 中，防止点击劫持攻击。X-XSS-Protection "1; mode=block"：启用浏览器的 XSS 保护机制，当检测到 XSS 攻击时，阻止页面加载。
-
防止恶意文件上传:
恶意文件上传是指攻击者上传包含恶意代码的文件，例如 PHP 后门或病毒。 通过配置 Nginx 可以限制上传文件的大小和类型，防止恶意文件上传。
location ~* .php$ { ... fastcgi_param PHP_VALUE "upload_max_filesize=2M post_max_size=8M"; ... }这条指令设置了 PHP 的
upload_max_filesize和post_max_size参数，限制了上传文件的大小。upload_max_filesize限制了单个上传文件的大小，post_max_size限制了 POST 请求的最大大小。注意： 这种方法只能限制上传文件的大小。 为了更安全地防止恶意文件上传，还需要对上传的文件进行内容检查，例如使用 ClamAV 病毒扫描程序。
-
限制POST请求方法：
只允许GET和POST方法：
if ($request_method !~ ^(GET|POST)$ ) {
return 405;
}-
限制 XML-RPC 访问:
xmlrpc.php文件是 WordPress 的 XML-RPC API 入口点。 XML-RPC 容易受到暴力破解攻击和 DDoS 攻击。 如果你的网站不需要使用 XML-RPC，可以禁用它。location = /xmlrpc.php { deny all; }这条指令会拒绝所有对
xmlrpc.php文件的访问。 如果你需要使用 XML-RPC，可以限制访问来源 IP 地址，例如只允许管理员的 IP 地址访问。
四、实施速率限制
速率限制是指限制客户端在一定时间内可以发送的请求数量。 速率限制可以防止暴力破解攻击、DDoS 攻击和恶意爬虫。
-
限制登录尝试次数:
暴力破解攻击是指攻击者尝试使用不同的用户名和密码组合来破解 WordPress 后台登录。 通过限制登录尝试次数可以有效防止暴力破解攻击。
首先，定义一个共享内存区域来存储客户端的登录尝试次数：
limit_req_zone $binary_remote_addr zone=login:10m rate=5r/minute;这条指令定义了一个名为
login的共享内存区域，大小为 10MB，限制每个 IP 地址每分钟最多可以发送 5 个登录请求。然后，在 WordPress 后台登录页面的配置中添加速率限制：
location = /wp-login.php { limit_req zone=login burst=1 nodelay; ... }limit_req zone=login指令启用了速率限制。burst=1指令允许一个突发请求，nodelay指令表示立即处理突发请求，而不是将其放入队列中。 -
限制评论发布频率:
垃圾评论是 WordPress 网站常见的问题。 通过限制评论发布频率可以减少垃圾评论。
首先，定义一个共享内存区域来存储客户端的评论发布次数：
limit_req_zone $binary_remote_addr zone=comments:10m rate=10r/minute;这条指令定义了一个名为
comments的共享内存区域，大小为 10MB，限制每个 IP 地址每分钟最多可以发布 10 个评论。然后，在评论处理页面的配置中添加速率限制：
location = /wp-comments-post.php { limit_req zone=comments burst=3 nodelay; ... }注意： 速率限制可能会影响正常用户的体验。 你需要根据实际情况调整速率限制参数，找到一个平衡点。
五、启用 HTTPS
HTTPS 使用 SSL/TLS 协议对客户端和服务器之间的通信进行加密，防止数据被窃听或篡改。 启用 HTTPS 是保护 WordPress 网站安全的重要一步。
-
获取 SSL/TLS 证书:
你可以从 Let’s Encrypt 获取免费的 SSL/TLS 证书，或者从商业 CA 购买证书。
-
配置 Nginx 使用 SSL/TLS 证书:
在 Nginx 虚拟主机配置文件中添加以下指令：
server { listen 443 ssl http2; server_name yourdomain.com; ssl_certificate /path/to/your/certificate.crt; ssl_certificate_key /path/to/your/private.key; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH; ssl_prefer_server_ciphers on; ... }listen 443 ssl http2：监听 443 端口，启用 SSL/TLS 和 HTTP/2 协议。ssl_certificate：指定 SSL/TLS 证书文件的路径。ssl_certificate_key：指定 SSL/TLS 私钥文件的路径。ssl_protocols：指定支持的 SSL/TLS 协议版本。 建议使用 TLSv1.2 和 TLSv1.3。ssl_ciphers：指定加密算法。 建议使用强加密算法。ssl_prefer_server_ciphers on：优先使用服务器指定的加密算法。
-
将 HTTP 请求重定向到 HTTPS:
为了确保所有用户都使用 HTTPS 访问你的网站，可以将 HTTP 请求重定向到 HTTPS。
server { listen 80; server_name yourdomain.com; return 301 https://$server_name$request_uri; }这条指令会将所有 HTTP 请求重定向到对应的 HTTPS 地址。
六、配置 Web 应用防火墙 (WAF)
Web 应用防火墙 (WAF) 是一种专门用于保护 Web 应用程序的安全设备。 WAF 可以检测和阻止各种 Web 攻击，例如 SQL 注入、XSS 和 DDoS 攻击。
-
使用 ModSecurity:
ModSecurity 是一种流行的开源 WAF，可以与 Nginx 集成。 ModSecurity 使用规则集来检测和阻止 Web 攻击。
安装 ModSecurity 和 OWASP ModSecurity Core Rule Set (CRS)：
apt-get install libapache2-mod-security2配置 Nginx 加载 ModSecurity 模块：
http { ... include /etc/modsecurity/*.conf; ... }配置 ModSecurity 使用 CRS 规则集：
<IfModule security2_module> IncludeOptional /etc/modsecurity/crs-setup.conf Include /etc/modsecurity/rules/*.conf </IfModule>注意： 配置 ModSecurity 需要一定的专业知识。 你需要仔细阅读 ModSecurity 和 CRS 的文档，并根据你的实际情况调整配置。
-
使用商业 WAF:
除了 ModSecurity 之外，还有许多商业 WAF 可供选择，例如 Cloudflare WAF 和 Sucuri WAF。 商业 WAF 通常提供更强大的功能和更好的技术支持。
七、定期更新和监控
安全是一个持续的过程。 你需要定期更新 WordPress 核心、插件和主题，并监控你的网站的安全状态。
-
更新 WordPress 和插件:
WordPress 核心团队和插件开发者会定期发布安全更新，修复已知的安全漏洞。 你应该及时更新 WordPress 核心、插件和主题，以确保你的网站免受已知漏洞的攻击。
-
监控网站日志:
Nginx 会记录网站的访问日志和错误日志。 你应该定期检查这些日志，以发现潜在的安全问题。 你可以使用工具来分析日志，例如
awstats和goaccess。 -
使用安全扫描工具:
有许多安全扫描工具可以帮助你检测 WordPress 网站的安全漏洞，例如 WPScan 和 Sucuri SiteCheck。 你应该定期使用这些工具扫描你的网站，并修复发现的漏洞。
八、代码示例汇总
为了方便大家参考，这里将上述代码示例汇总到一个表格中：
| 功能 | Nginx 配置 | 说明 |
|---|---|---|
| 禁用目录浏览 | autoindex off; |
禁用 Nginx 的自动索引功能。 |
| 移除 Server 头部信息 | server_tokens off; |
禁用 Nginx 的版本信息。 |
| 阻止访问 wp-config.php | location ~* wp-config.php { deny all; } |
阻止访问 wp-config.php 文件。 |
| 阻止访问 .htaccess | location ~ /.ht { deny all; } |
阻止访问所有以 .ht 开头的文件。 |
| 阻止访问 .git 目录 | location ~ /.git { deny all; return 404; } |
阻止访问 .git 目录，并返回 404 错误。 |
| 限制请求体大小 | client_max_body_size 2m; |
限制客户端请求体的最大大小为 2MB。 |
| 添加 HTTP 头部 | add_header X-Content-Type-Options "nosniff"; add_header X-Frame-Options "SAMEORIGIN"; add_header X-XSS-Protection "1; mode=block"; |
添加 HTTP 头部，增强 XSS 防护。 |
| 限制 XML-RPC 访问 | location = /xmlrpc.php { deny all; } |
拒绝所有对 xmlrpc.php 文件的访问。 |
| 限制登录尝试次数 | limit_req_zone $binary_remote_addr zone=login:10m rate=5r/minute; location = /wp-login.php { limit_req zone=login burst=1 nodelay; ... } |
限制每个 IP 地址每分钟最多可以发送 5 个登录请求。 |
| 限制评论发布频率 | limit_req_zone $binary_remote_addr zone=comments:10m rate=10r/minute; location = /wp-comments-post.php { limit_req zone=comments burst=3 nodelay; ... } |
限制每个 IP 地址每分钟最多可以发布 10 个评论。 |
| 启用 HTTPS | listen 443 ssl http2; ssl_certificate /path/to/your/certificate.crt; ssl_certificate_key /path/to/your/private.key; ssl_protocols TLSv1.2 TLSv1.3; ... |
启用 HTTPS，并指定 SSL/TLS 证书和私钥的路径。 |
| HTTP 重定向到 HTTPS | listen 80; return 301 https://$server_name$request_uri; |
将所有 HTTP 请求重定向到对应的 HTTPS 地址。 |
| 限制POST请求方法 | if ($request_method !~ ^(GET|POST)$ ) { return 405; } |
只允许GET和POST方法。 |
| 屏蔽常见WordPress敏感文件 | location ~* /(wp-admin|wp-login.php|xmlrpc.php|wp-content/plugins/.*?/readme.txt) { deny all; } |
屏蔽常见的WordPress敏感文件，如后台，登陆页面，xmlrpc，以及插件的readme.txt文件。 |
总结：安全配置是持续的过程
通过上述配置，我们可以显著增强 WordPress 网站的安全性。请记住，安全是一个持续的过程，需要定期更新和监控，并根据实际情况调整配置。 希望本次讲座对大家有所帮助，谢谢！