WordPress 根目录检查 wp-config.??? 不明文件｜网络安全漏洞

WordPress 站长注意，请时常检查自家网站根目录下的文件列表，是否出现如下所示以 wp-config 文件为主体的各种延伸档名以及副档名。

近来检查系统后台时，发现国外骇客集团正积极地大量扫描 WordPress 网站根目录下的 wp-config 相关文件。由于该文件存有整个系统最重要的数据库安全信息以及各种重要网站设定，推测可能是 WP 漏洞被人利用的一个空窗期。

下面是被扫描过的 wp-config 相关文件名称，有根据 wp-config.php 原始文件延伸名称的，也有更改副档名、备份等组成结构。

WordPress 安全漏洞疑虑 wp-config 相关文件

• wp-config-good
• wp-config_good
• wp-config.good
• wp-config.phporiginal
• wp-config.php-original
• wp-config.php_original
• wp-config.php.original
• wp-config.php_orig
• wp-config.php.orig
• wp-config.php_
• wp-config.php~
• wp-config.php.save
• wp-config.php.backup
• wp-config.php.bak
• wp-config.php.old
• wp-config.php.new
• wp-config.bak
• wp-config.php.disabled
• wp-config.php.swp

不用来路不明的布景主题（Themes）以及外挂程序（Plugin），装有至少一种安全防护程序（例如：Wordfence），都能最大化提高网站安全防护。

另外时常检查网站目录，熟悉基本的文件名称与数量，让自己一眼就能看出哪些文件是可疑的，找出多余的备份与陌生文件（前提是有其他安全备份以及不影响网站运作），没有必要留存的文件直接移除，这些举动都能进一步提高网站安全性（前提是建立正确观念）。

参考文献

1. 网站目录常见骇客攻击用病毒蠕虫与后门危险文件清单｜WordPress Joomla CMS 内容网站。
2. 资安漏洞：WordPress 11 种外挂 Plugins 和布景主题 Themes 安全性问题。