企业网站用WordPress 404页面做安全防护实战案例

你是不是也遇到过这样的情况：网站被黑了，后台密码被改，数据被删，客户数据泄露，结果一查日志，发现是404页面被攻击者利用？别急，这不是个例，域名服务器搞不懂的你，今天就从实战案例出发，一步步教你如何用WordPress 404页面做安全防护，杜绝网站被黑。

威胁场景：404页面竟成攻击入口

别小看404页面，这个看似“无害”的页面，其实可能是攻击者入侵网站的“第一道门”。我们常听说的“路径穿越”、“SQL注入”等攻击，很多时候都是从一个不起眼的404页面开始的。

举个真实的例子：2023年某电商平台被黑，攻击者通过尝试访问网站上的不存在路径（如/admin/config.php），在404页面中发现了网站使用的CMS系统版本，随后利用已知的漏洞发起攻击，最终导致数据库被窃取，客户信息泄露，事件影响恶劣。

**中国互联网络信息中心（CNNIC）**在2024年发布的《网站安全白皮书》中明确指出，超过35%的网站入侵事件与404页面存在漏洞有关，特别是未正确配置的页面，更容易被攻击者探测和利用。

漏洞原理：404页面如何暴露系统信息

一个不安全的404页面可能会泄露网站的关键信息，比如使用的CMS版本、服务器类型、网站目录结构等。这些信息是攻击者用来制定入侵计划的重要依据。

比如，如果你的404页面返回了如下内容：

404 Not Found
Error: The requested URL /wp-content/themes/your-theme/index.php was not found on this server.

攻击者就能从中得知你的网站使用了WordPress系统，并且使用了某个主题（your-theme），进而搜索该主题是否存在已知漏洞，最终实现攻击。

再比如，如果404页面返回了服务器的具体信息（如Apache版本、PHP版本等），攻击者就可以根据版本差异尝试利用已知漏洞。

防护方案：自定义404页面 + 代码加固

为了防止攻击者通过404页面获取敏感信息，我们可以通过自定义404页面，并配合一些代码手段来隐藏服务器和系统信息。

步骤1：创建自定义404页面

在WordPress中，可以通过页面编辑器创建一个404页面，然后设置“404页面”选项，将默认的404页面替换为你自定义的页面。

操作步骤：

1. 登录WordPress后台。
2. 点击“页面”→“新建页面”。
3. 编写内容，如：“页面不存在，请返回首页”。
4. 在页面属性中，设置“模板”为“404页面”。
5. 保存页面后，进入“设置”→“阅读”→“404页面”，选择你新建的页面。

步骤2：禁用服务器信息返回

默认情况下，Apache或Nginx服务器在遇到错误时，会返回一些服务器信息，如服务器版本、操作系统等。我们可以通过修改服务器配置文件，来禁止这些信息的返回。

Apache服务器配置（httpd.conf 或 .htaccess）

在.htaccess文件中添加以下内容：

ServerTokens Prod
ServerSignature Off

Nginx服务器配置（nginx.conf）

在http或server块中添加以下内容：

server_tokens off;

步骤3：自定义404页面的代码示例

如果你使用的是主题的404.php文件，可以将内容替换为以下代码，以防止泄露任何敏感信息：

<?php get_header(); ?>
<div id="primary" class="content-area"><main id="main" class="site-main" role="main"><section class="error-404 not-found"><header class="page-header"><h1 class="page-title">页面未找到</h1></header><div class="page-content"><p>抱歉，您访问的页面不存在。</p><p><a href="<?php echo home_url(); ?>">返回首页</a></p></div></section></main>
</div>
<?php get_footer(); ?>

步骤4：禁用错误信息的详细输出

在wp-config.php文件中，添加以下代码，以防止WordPress输出详细的错误信息：

define('WP_DEBUG', false);
define('WP_DEBUG_DISPLAY', false);
@ini_set('display_errors', 0);

以上操作可以有效防止攻击者通过404页面获取敏感信息，同时也能避免因错误信息暴露服务器和系统漏洞。

检测与修复：如何排查404页面安全问题

在完成上述防护措施后，仍需进行安全检测，确保404页面未成为潜在的攻击入口。

检测方法一：手动测试

你可以使用任意路径（如/wp-admin/config.php、/wp-content/plugins/等）访问网站，查看返回的404页面内容，判断是否泄露了敏感信息。

检测方法二：使用工具扫描

使用如nmap、nikto等扫描工具，对网站进行安全扫描，检测是否返回了服务器信息、系统版本等。

例如，使用nikto扫描命令如下：

nikto -h https://yourwebsite.com

检测方法三：日志分析

定期查看网站服务器日志（如Apache的access.log或error.log），观察是否有异常访问请求，特别是频繁访问不存在的路径，这可能意味着攻击者在尝试探测网站漏洞。

修复方案示例

若发现404页面返回了服务器信息，可以尝试以下修复：

Apache服务器配置修复：

# 修改前
ServerTokens Full
ServerSignature On# 修改后
ServerTokens Prod
ServerSignature Off

Nginx服务器配置修复：

# 修改前
server_tokens on;# 修改后
server_tokens off;

以上修复方式可以有效隐藏服务器信息，防止攻击者利用。

安全加固清单：确保网站整体安全

除了404页面防护外，网站安全还需要从多个方面进行加固。以下是建议的安全加固清单：

以上这些措施，能帮助你全面提升网站的安全性，避免因404页面等小细节引发大问题。

你的网站用的什么技术栈？评论区聊聊。