有个卖母婴用品的客户网站突然跳转到菠菜网站 查日志发现他用的是"admin"用户名，密码还是"123456"，黑客用暴力破解只花了17秒...
安全防护常见错觉：
- 觉得小网站黑客看不上？人家专门扫射弱密码的自动程序
- 不更新插件/主题，漏洞比瑞士奶酪的孔还多
- 最要命的是用nulled盗版主题，后门代码比功能还多
（昨天刚处理的血泪案例）客户装了某"SEO优化插件"，结果被植入挖矿脚本
急救方案：
- 立即禁用xmlrpc.php文件
- 用Wordfence扫一遍核心文件
- 把登录链接/wp-admin/改成自定义路径
网站安全就像戴口罩，平时觉得麻烦，等中招就晚了 顺便说，那个母婴站改成双重验证后，攻击尝试直接降为零...