WP后台地址没改，所有人都知道/wp-admin，被人拿字典扫了整整一周

18年做本地资讯站用的WordPress，装完之后直接用默认的后台地址/wp-admin，当时觉得大家都用这个地址，根本不用改。上线之后，我登服务器看日志，发现从上线第二天开始，就有一堆来自全国各地的IP，不停访问/wp-admin页面，拿着字典一个一个试管理员账号密码，扫了整整一周，登录日志里堆了几万条失败记录，服务器CPU都被这些请求占了不少。 我当时赶紧在宝塔里把wp-admin目录加了IP白名单，只允许我自己的办公IP访问后台，又把后台登录地址改成了一串随机的字符，改完之后再看日志，那些扫默认后台地址的请求，全被Nginx拦在外面，再也没有失败登录的记录了，服务器CPU也降了下来。之前总觉得改后台地址是多此一举，结果你用默认地址，全世界的爬虫都知道，24小时拿字典扫你的密码，迟早能碰出来一个弱密码。 从那之后我装任何WordPress，第一步就把默认后台地址改成随机字符串，再加IP白名单，再也不裸着默认/wp-admin地址。很多新手装WP跟我当初一样，用默认后台地址，根本不知道全网的爬虫都在扫/wp-admin，你不改，相当于把后台大门敞开，别人24小时拿钥匙试，迟早进去。 真的，装完WP第一时间改后台地址，加IP白名单，别用默认的/wp-admin，不然你的后台地址全网都知道，被人扫一周都是轻的，哪天密码被破解了，整个站都没了。