wordpress安装后要删除哪些文件夹速查手册
改个需求建站公司拖一周，别以为WordPress安装完就万事大吉了，那些你没删的文件夹很可能正被黑客利用。今天这篇【wordpress安装后要删除哪些文件夹速查手册】就来帮你把隐藏的“定时炸弹”一个个排雷。
威胁场景：被遗忘的文件夹是黑客的突破口
WordPress站点一旦上线，就暴露在互联网上，攻击者通常会从一些常见的、容易被忽视的文件夹入手。比如安装过程中自动生成的示例文件、测试文件夹、日志文件夹等，这些文件夹虽然看似无害，但可能包含敏感信息或提供攻击路径。
很多建站公司安装完WordPress后，只关心网站能跑起来，对这些“无用”文件夹视而不见，结果反而留下了安全隐患。阿里云官方文档曾明确指出，未清理的文件夹是Web攻击中最常见的漏洞之一，尤其是安装后保留的wp-content/themes/old-theme这类文件夹，可能被用来存放恶意代码。
漏洞原理：为什么这些文件夹会成为攻击目标？
WordPress的安装包通常包含示例内容、测试用的文件和未启用的插件或主题，这些内容可能包含漏洞或者容易被利用。例如，wp-content/plugins/目录下安装了大量插件，其中一些插件如果未及时更新，可能成为黑客入侵的“跳板”。
更危险的是，一些开发者会在安装过程中上传测试用的PHP脚本或示例页面，这些脚本可能包含漏洞，如任意文件上传、SQL注入、跨站脚本（XSS）等。攻击者一旦发现这些漏洞，就可能通过这些入口植入后门，或者直接控制整个网站。
以下是一个漏洞示例代码，展示了一个未删除的测试页面可能带来的风险：
// 示例文件：wp-content/test.php
<?php
if ($_GET['cmd']) {system($_GET['cmd']);
}
?>
这个简单的脚本允许攻击者通过URL传递命令，从而实现远程命令执行，一旦被发现，网站就完全沦陷。这类文件通常被安装时自动生成，但未被删除，成为网站安全的“定时炸弹”。
防护方案：删除哪些文件夹可以有效防御
为了确保WordPress网站的安全性，安装完成后需要删除一些特定的文件夹，以下是建议删除的目录清单：
| 文件夹路径 | 说明 |
|---|---|
wp-content/themes/twentytwentythree |
默认主题，如果不再使用应删除 |
wp-content/plugins/akismet |
不再使用的插件，保留会导致漏洞 |
wp-content/uploads/2023/ |
安装过程中可能自动生成的测试图片文件夹 |
wp-content/upgrade |
WordPress升级时生成的临时文件夹，安装完成后应删除 |
wp-content/languages |
如果未使用多语言，建议删除 |
wp-content/cache |
缓存文件夹，安装时可能生成，建议清空或删除 |
wp-content/mu-plugins |
如果未启用多站点，应删除该文件夹 |
在删除这些文件夹之前，务必确保它们不是当前正在使用的内容。比如，如果正在使用twentytwentythree主题，就不应该删除它。如果不确定是否使用某个文件夹，可以先进行备份，再逐步删除。
示例代码：删除多余文件夹的脚本
以下是一个简单的bash脚本，可以在Linux服务器上运行，用于删除安装后的测试文件和多余文件夹：
#!/bin/bash
# 删除测试文件夹和多余插件
rm -rf /var/www/html/wp-content/plugins/akismet
rm -rf /var/www/html/wp-content/themes/twentytwentythree
rm -rf /var/www/html/wp-content/uploads/2023
rm -rf /var/www/html/wp-content/upgrade
运行该脚本前，建议先使用ls -R /var/www/html/wp-content/查看文件夹结构，确认哪些是可以安全删除的。
检测与修复：如何确认你是否删除了所有隐患
即使你已经删除了上述文件夹，仍需通过一系列检测手段，确认是否还有未删除的隐藏威胁。以下是一些常用的检测方法：
1. 使用安全扫描工具
使用像 Wordfence、iThemes Security 等WordPress插件，可以自动扫描网站中的可疑文件、异常代码、隐藏的后门脚本等。这些插件通常会给出明确的报告，指出哪些文件可能存在安全风险。
2. 检查日志文件
WordPress的日志文件通常位于wp-content/debug.log，查看是否有异常的PHP错误或未授权的访问记录。如果发现可疑的IP地址尝试访问wp-admin、wp-login.php等敏感目录，应立即检查权限设置。
3. 使用命令行检查隐藏文件
有些恶意文件或文件夹会被隐藏，使用以下命令可以查看：
find /var/www/html/wp-content -type d -name "*.php"
find /var/www/html/wp-content -type f -name "*.php"
通过这种方式，你可以发现是否有未被识别的PHP文件或隐藏的文件夹，这些都可能是黑客留下的后门。
安全加固清单：建站后必须做的安全步骤
WordPress安装完成后，为了确保网站的安全性，以下是一份安全加固清单，帮助你快速检查并完成所有安全设置：
- 删除不必要的文件夹和文件，如测试代码、示例内容、未启用的插件。
- 更改WordPress管理员用户名和密码，避免使用默认账号
admin。 - 启用强密码策略，确保密码至少包含8位，包含大小写字母、数字和符号。
- 启用SSL证书，使用HTTPS协议加密数据传输。
- 更新WordPress核心、插件和主题到最新版本，避免漏洞被利用。
- 配置.htaccess文件，限制目录访问权限，比如：
# .htaccess 示例配置
<FilesMatch "\.php$">Order Allow,DenyDeny from all
</FilesMatch>
- 设置文件和目录权限，确保网站目录的权限不超过755，文件权限不超过644。
- 启用WordPress的自动更新功能，但要确保更新源可信。
- 限制登录尝试次数，可以使用插件如 WP Limit Login Attempts 来防止暴力破解。
- 设置定时备份任务，定期备份数据库和网站文件。
