An AI capability that combines…

# WordPress外贸网站（LED灯具）SQL注入与XSS漏洞自查指南

一、检查前的准备工作

• 备份网站文件和数据库（可用UpdraftPlus等插件）
• 在测试环境（Staging）操作，避免影响线上站点
• 准备工具：WPScan、SQLMap（仅用于自己的站点）、浏览器开发者工具

二、SQL注入漏洞排查

重点检查位置：

• 自定义搜索功能、产品筛选（按价格/功率/色温筛选）
• 联系表单、询盘表单（外贸站重点）
• 自定义主题中拼接SQL的代码，搜索关键词：$_GET、$_POST、query、$wpdb->query

排查方法：

• 手动测试：在搜索框、URL参数中输入 '、' OR '1'='1、1 UNION SELECT 1,2,3--，观察是否报错或返回异常数据
• 工具扫描：WPScan扫描插件/主题漏洞；SQLMap对参数做注入测试
• 检查数据库日志中是否有异常查询记录

三、XSS漏洞排查

重点检查位置：

• 询盘表单、评论、产品自定义字段（如产品描述、规格参数）
• URL参数是否直接输出到页面（反射型XSS）
• 管理后台输入、前台显示的内容（存储型XSS）

排查方法：

• 在表单字段输入测试Payload：<script>alert(1)</script>、"><img src=x onerror=alert(1)>，提交后查看是否弹窗
• 检查主题代码中是否有 echo $_GET[...] 等未转义输出

四、修复方案

SQL注入修复：

• 所有数据库查询使用 $wpdb->prepare() 预处理语句
• 用户输入做白名单校验（如产品ID强制 intval()）
• 禁止直接拼接SQL字符串

XSS修复：

• 输出时转义：esc_html()、esc_attr()、esc_url()
• 输入时过滤：使用 wp_kses() 白名单过滤HTML
• 设置Cookie的HttpOnly属性

通用加固：

• 更新WordPress核心、主题和插件到最新版本（旧插件是外贸站被黑主因）
• 移除不用的插件和主题
• 安装安全插件（如Wordfence、Sucuri）开启WAF
• 表单接入验证码（推荐reCAPTCHA或hCaptcha），防机器人提交垃圾询盘

五、建议后续动作

• 修复后复测一遍，确认Payload不再生效
• 定期（建议每月）扫描一次，开启自动更新提示
• 隐藏WordPress版本号和登录错误提示信息

如需具体某段代码的修复示例，可以贴出来我帮你分析。