WordPress 暴力破解攻击在成千上万个站点上呈现出相同的剖面，因为攻击者是同一批运行着同样脚本的僵尸网络。了解这些步骤，你才能设计出对应的防御。本文梳理 2026 年一次典型的攻击过程。
第一步：探测
僵尸网络在网络上爬取，寻找 /wp-login.php 和 /wp-admin 路径。对其中任一路径有响应的站点便成为目标候选，而对两者都返回 404 的站点则永远不会进入候选名单。
隐藏登录 URL 就把你从候选池里移了出去——这是一次免费的攻击量削减。
第二步：用户名枚举
攻击者会探测登录响应，以找出有效的用户名。直到不久前，WordPress 还会通过不同的错误提示暴露有效用户名。现代版本的 WordPress 配合合适的插件可以阻断这一点。
没有已知的用户名，暴力破解便失去了目标。
第三步：密码猜测
一旦获知某个用户名，机器人就会尝试泄露的密码和字典词，并分散到成千上万个 IP 上，以规避针对单个 IP 的频率限制。Defyn Security Manager 会以按 IP 和按用户名锁定作为回应，还可选择仅允许白名单中的 IP。
Defyn Security Manager 插件还提供时间段限制，让登录只能在你声明的时段内成功，从而缩小自动化攻击的可乘之窗。
第四步：得手后的持久化
一次成功的登录会导致后门被植入、管理员账号被创建，或文件被悄悄篡改。此后，该站点便沦为僵尸网络的一员，或成为恶意软件的分发点。
审计日志和文件完整性监控能够发现这种持久化。而恢复则需要一次彻底的清理。
纵深防御
隐藏 URL、阻断枚举、对暴力破解实施锁定、强制启用 2FA、记录一切。每一层都让攻击链更加艰难。大多数自动化攻击会在攻破所有防线之前就放弃。
人工的定向攻击依然存在，但对大多数站点而言并不常见。
理解攻击的每一个步骤，正是你得以构建对应防御的前提。如果你希望在自己的站点上把这套分层防护部署妥当并持续监控，Defyn 团队可以帮到你。
常见问题
暴力破解攻击展开得有多快？
得手的攻击需要数分钟到数小时，而被挫败的攻击会在几秒内被弹开。
大多数攻击都是自动化的吗？
是的。超过 99% 的 WordPress 登录攻击都是自动化的。
我能实时看到攻击吗？
可以，通过审计日志。失败的登录尝试和锁定会在发生时即时显示。
如果我的站点被专门盯上了怎么办？
定向攻击会绕过自动化防御，但分层防御仍能拖慢它们。此时最重要的是备份、监控和事件响应。
