WordPress 是世界上最容易被针对的 CMS —不是因为它不安全，而是因为它的流行度使其成为全天候攻击的目标。根据 WordPress 官方报告，WordPress 网站每年面临超过 100 万次攻击尝试。cPGuard 拥有特定的 WordPress 模块，在服务器级别运行，覆盖所有保护维度，为您的整个网站提供军事级安全防护。
cPGuard 在 WordPress 加载之前工作 —许多恶意软件类型在 PHP 运行 WordPress 之前就被检测和阻止，使其比在 WordPress 内部运行的安全插件更有效。这意味着您的服务器在 WordPress 执行之前就已经过滤了大量威胁。
WordPress 核心文件完整性
一种常见的持久化技术是修改 WordPress 核心文件，如 wp-login.php 或 wp-includes/functions.php，以嵌入后门。攻击者这样做是为了即使管理员修改密码也能保持访问权限。cPGuard 的核心校验和验证每个核心文件的哈希与 WordPress.org 的官方校验和相匹配。
当发现不匹配时，cPGuard 会立即发出警报，并可以自动从 WordPress CDN 下载干净的原始版本来替换它 —而不影响主题、插件或数据库。恢复通常在几秒内完成，无需手动干预。例如，如果 wp-login.php 被注入了恶意代码，cPGuard 会自动替换为官方版本，同时保留您的所有用户账户和设置。
这个功能特别强大，因为它可以检测到即使是最隐蔽的后门。许多黑客会在核心文件中添加只有几行代码的后门，这些后门很难通过视觉检查发现，但 cPGuard 的哈希验证系统会立即识别。
CVE 插件和主题漏洞扫描
过时的插件和主题是 WordPress 攻击的第一大向量。根据安全研究，70% 以上的 WordPress 被攻击是通过已知的插件漏洞发生的。cPGuard 使用 CVE 情报检查已安装的插件和主题是否存在已知漏洞，向管理员发送电子邮件警报，并可选择性地强制自动更新以立即修复漏洞。
例如，如果您安装了一个流行的 SEO 插件，而该插件的版本 1.5 中发现了 SQL 注入漏洞，cPGuard 会自动检测到这个漏洞，通知您，并可以在您的许可下立即更新到安全版本。这样做可以防止攻击者在您网站上利用这个公开的漏洞。
此外，cPGuard 维护与 WordPress 安全团队的实时数据库连接，意味着您总是能获得最新的威胁信息。当 WordPress 核心或流行插件发布安全补丁时，cPGuard 会在数小时内知道这个新漏洞，而不是等待您手动检查更新。
WordPress 特定的 WAF 规则
cPGuard 的 Web 应用防火墙（WAF）包含专门为 WordPress 设计的规则，针对黑客最常用的攻击模式。这些规则在 HTTP 请求到达您的网站之前就阻止了它们。
- XML-RPC 放大块 —停止通过 xmlrpc.php 进行的攻击，这些攻击每次请求测试数百个密码。一个典型的 XML-RPC 攻击可以在数小时内尝试数百万个密码组合
- REST API 保护 —阻止通过 WordPress REST API 的未授权访问。REST API 如果配置不当会暴露用户列表、发布信息等敏感数据
- wp-admin 路径遍历 —阻止通过管理员 URL 的路径遍历攻击，防止攻击者访问服务器上的其他目录
- 插件上传 Shell —防止上传包含网站 Shell 的恶意插件。许多攻击者会伪装成合法插件来上传 Web Shell
- 登录暴力破解保护 —检测并阻止来自同一 IP 的过多失败登录尝试，防止字典攻击
这些规则是自动更新的，无需手动配置。cPGuard 会根据最新的威胁情报持续改进这些规则，确保您始终受到保护。
WordPress 数据库扫描器
许多恶意软件类型注入 MySQL 数据库而不是编辑 PHP 文件，这样可以逃避仅限文件的扫描器。这些注入通常是隐蔽的，包括隐藏的重定向、垃圾邮件链接或后门凭据。cPGuard 的数据库扫描器会深度检查您的 WordPress 数据库的每一个表。
具体来说，它检查：
wp_posts—垃圾邮件链接、网络钓鱼内容、隐藏的帖子链接。攻击者有时会在现有帖子中注入垃圾邮件链接，这些链接仅在前端可见，后端不易发现wp_options—siteurl/home/widgets 中的恶意重定向。黑客可能会修改网站的基本 URL 以重定向访问者到恶意网站wp_users—隐藏的管理员账户。许多黑客会创建额外的管理员账户作为后门，这些账户用户名可能看起来很像官方账户wp_usermeta—后门凭据。黑客可能在用户元数据中存储加密的后门密码或令牌
数据库扫描通常在您的非工作时间运行，不会影响网站性能。如果检测到问题，cPGuard 会生成详细的清理报告。
暴力破解保护和 CAPTCHA
wp-login.php — 基于 DNS 的 CAPTCHA
cPGuard 不是让机器人直接攻击登录页面，而是先将其重定向到离线 CAPTCHA 服务器。这意味着当攻击者尝试通过暴力破解猜测您的登录凭证时，他们会遇到一个 CAPTCHA 挑战，而不是直接的登录表单。无法解决 CAPTCHA 的机器人会在那里被阻止，大大减少服务器负载。
这种方法比传统的登录尝试限制更有效，因为它可以区分真正的用户和自动化攻击。真正的用户可以解决 CAPTCHA 并继续，而机器人则被停止在第一步。这样您的服务器永远不会被数百万个暴力破解请求所困扰。
WP-Cron 优化
WordPress 的 WP-Cron 系统如果配置不当可能成为安全漏洞。格式错误或滥用的 WordPress WP-Cron 任务是性能和安全问题的常见来源。cPGuard 的 WP-Cron 优化模块监控所有计划的 cron 作业，防止 cron 被滥用来运行恶意脚本。
例如，黑客可能会添加一个恶意 cron 任务，每天在特定时间运行垃圾邮件操作或数据窃取脚本。cPGuard 会检测到这些异常的 cron 任务并将其隔离，同时通知管理员。这防止了自动化后门的长期活动。
实时监控和自动响应
cPGuard 不仅仅是被动扫描，它还提供 实时威胁监控。当检测到可疑活动时，它会立即采取行动：
- 自动隔离受感染文件，防止进一步伤害
- 生成详细的事件日志供审计和合规性使用
- 通知管理员通过电子邮件发送警报，包括关于威胁的详细信息
- 可选择性地自动应用安全补丁和更新
- 维护威胁历史记录，以便您可以追踪网站的安全事件
实时响应意味着威胁被立即处理，而不是在定期扫描周期中被发现。这可以将恶意软件的有效活动时间从几天减少到几分钟。
与其他安全解决方案的对比
许多网站管理员依赖于单一的安全解决方案，但多层防御是最佳实践。cPGuard 与其他安全工具的不同之处在于：
| 功能 | cPGuard | Wordfence | Sucuri |
|---|---|---|---|
| 安装位置 | 服务器级别 | WordPress 插件 | CDN / 服务器级别 |
| 覆盖所有网站 | 是 | 需按网站安装 | 仅 Sucuri 客户 |
| 核心文件检查 | 是 | 是 | 是 |
| WAF 规则 | 自定义 WP 规则 | 内置 WAF | CDN WAF |
| 数据库扫描 | 深度扫描 | 基础扫描 | 基础扫描 |
| 成本（每个网站） | 包含在虚拟主机 | $99-$299/年 | $200-$500/年 |
如您所见，cPGuard 提供企业级保护，但被包含在 AsiaGB 虚拟主机中，无需额外费用。这在安全解决方案成本中代表了显著的价值。
设置和入门
cPGuard 的设置过程对用户来说是无缝的，因为它在服务器级别上运行。当您在 AsiaGB 上托管 WordPress 时，cPGuard 会自动为您的所有网站启用，无需任何额外配置。您可以立即享受以下优势：
- 自动核心文件监控 - 从您的第一个 WordPress 安装开始就活跃
- 即时 CVE 警报 - 当新漏洞发布时立即通知
- WAF 保护 - 在您首次启动网站时立即活跃
- 数据库扫描 - 可以手动触发或按计划运行
无需技术知识来使用 cPGuard。一切都在后台自动工作，同时通过直观的 DirectAdmin 面板为您提供清晰的报告和警报。
常见问题
什么是 cPGuard WordPress 核心校验和？
它验证 WordPress 核心文件与 WordPress.org 的官方校验和相匹配。如果文件被修改，cPGuard 会检测到它，并可以自动从 WordPress CDN 下载干净的原始文件来替换它。核心文件包括所有 WordPress 系统文件，但不包括您的主题、插件或媒体文件。
cPGuard 可以扫描插件漏洞吗？
可以 — CMS 威胁模块使用 CVE 情报来检查已安装的插件、主题或 WordPress 核心是否有已知漏洞，然后发出警报或强制自动更新。这包括流行和不太知名的插件。
cPGuard 与 Wordfence 有什么区别？
cPGuard 在服务器级别运行，同时保护服务器上的所有站点，无需在每个站点上安装插件。Wordfence 是在每个站点安装的 WordPress 插件。cPGuard 的优势是在 WordPress 加载前检测恶意软件，使其更有效但更少地影响网站性能。
cPGuard 可以恢复修改的 WordPress 核心文件吗？
可以 — cPGuard 从 WordPress.org CDN 下载干净的原始文件，并替换修改的文件，而不影响主题、插件或数据库。恢复通常自动进行，尽管对于严重情况，管理员可以选择手动审查更改。
WordPress 数据库扫描器检查什么？
它检查 wp_posts（垃圾邮件链接、网络钓鱼内容）、wp_options（siteurl/home/widgets 中的恶意重定向）、wp_users（隐藏的管理员账户）和 wp_usermeta（后门凭据）。扫描深度足以检测隐藏的和加密的威胁。
cPGuard 如何处理已感染的 WordPress？
cPGuard 会隔离受感染的文件、清理数据库条目，并恢复 WordPress 核心文件到安全版本。对于严重感染，建议进行完整的恶意软件审计和清理，cPGuard 会自动生成清理报告供诊断使用。如果您需要人工帮助，AsiaGB 技术支持团队始终可用。
AsiaGB 虚拟主机通过 cPGuard 保护 WordPress
AsiaGB 在每台服务器上安装 cPGuard — 您的 WordPress 从第一天起就受到保护，SSD 从 500 泰铢/年起。享受企业级安全，无需额外成本。
查看虚拟主机套餐