跨境电商不懂这个，随时向黑客敞开大门

跨境电商他们的独立站大多数是用shopify或wordpress进行搭建。但是由于shopify的付费模式以及其他弊端，许多站点会使用wordpress。然而在运营网站的时候，网络上大多数分享独立站知识内容仅靠一个ssl就主观的认为能够保护到你的网站。虽然上云平台的托管可以防止到一部分的网络攻击。但是你依然无法避免到开发站点过程中隐藏在里面的问题。这时候假设竞争者眼红你的流量、你的订单，从而攻击你的站点导致你的业务中断。辛辛苦苦支撑起的业务，在没有专业人员支持的情况下会面临难以溯源，严重的情况下你的数据库被删除。因此，提升独立站的安全防护能力是非常有必要的。

今天揭露一个wordpress常见的一个安全问题。请不要用于攻击他人网站，最后会说明如何修复该问题。

在wordpress中会有一个 wp-cron.php文件，它负责处理定时任务。

使用wappalyzer浏览器插件可以获知站点是否使用wordpress

在目标网站的 URL 后输入“/wp-cron.php”，如果网站显示空白页面：

接着向目标站点发送 curl 请求。

curl -I https://target.com/wp-cron.php

在 HTTP 状态代码为 200，它意味着存在安全问题。

利用github上doser.go（https://github.com/Quitten/doser.go）的工具向该站点发出大量请求：

./doser -t 9999 -g 'https://target.com/wp-cron.php'

接着通过重新加载来观察网站的行为，它的响应可能变慢并返回错误。

通过错误配置的 wp-cron.php 文件成功发起 DoS 攻击

如果站点变慢或无响应，则意味着站点很容易通过错误配置的 wp-cron.php 文件而受到不受控制的资源消耗。

 影响：

如果成功，这个配置错误的 wp-cron.php 文件可能会对网站造成很多损害，例如：

• 潜在的拒绝服务 （DoS） 攻击，导致应用程序不可用。

• 服务器过载和资源使用量增加，导致响应时间缓慢或应用程序崩溃。

• 网站可能会丢失和停机。

• 黑客可以利用错误配置来执行恶意任务，从而导致安全漏洞。

防御：

要防止这种情况，只需禁用 wp-cron.php 即可。

将以下内容添加到您的 wp-config.php 文件中：

define('DISABLE_WP_CRON', true);