WordPress的户名用户名枚举漏洞，说白了就是枚举网站把后台登录用户名直接暴露给了攻击者。这玩意儿不算什么高级攻击，漏洞但危害比很多人想得严重——它是户名暴力破解和定向钓鱼的敲门砖。

我去年帮一个客户排查网站被黑原因。枚举对方用的漏洞是WordPress，后台被登录了，户名文章被删了大半。枚举查日志发现，漏洞攻击者从11月3号开始，户名每天凌晨用脚本尝试登录。枚举第一天试了200多次，漏洞全失败。户名第二天换了个工具，枚举成功率突然飙升。漏洞为什么？因为攻击者拿到了正确的用户名——admin。而admin这个用户名，网站源码里写得明明白白。

WordPress默认的登录接口对错误提示太慷慨了。你输入一个不存在的用户名，它提示“用户名不存在”；输入存在的用户名但密码错误，它提示“密码错误”。两种提示的差异，就是枚举的钥匙。攻击者写个脚本，拿常见用户名列表（admin、administrator、editor、作者拼音等）挨个试，每次请求几毫秒，几百个名字一分钟就能跑完。跑出来的有效用户名，直接用于后续的密码爆破。

更讽刺的是，WordPress的REST API把这个问题放大了。只要访问/wp-json/wp/v2/users，服务器会返回所有公开用户的ID、名字、slug、描述等信息。很多站长为了SEO，把作者昵称设成真实姓名，等于把用户名写在脑门上。更别提那些用固定链接显示作者归档的站点，URL里直接带用户名。你都不用发请求，浏览器地址栏就泄露了。

我见过最离谱的案例是某个企业站，管理员用户名是“zhangsan”，密码是“zhangsan2023”。攻击者枚举出用户名后，用同一套字典跑密码，不到三小时就进去了。你说密码弱是主因，但用户名枚举把攻击门槛从“大海捞针”降到了“对着靶子射箭”。

修复方式其实不复杂。第一，改掉默认的admin用户名，新站点创建时别用admin。第二，安装插件禁用REST API的用户列表接口，或者用代码给/wp-json/wp/v2/users加权限校验。第三，最关键的是统一登录错误提示——无论用户名是否存在，都返回“用户名或密码错误”。这能直接掐断枚举的反馈通道。

但别指望一次性解决。WordPress生态太庞大了，主题和插件经常自己开新口子。比如有些缓存插件会生成静态登录页，错误提示逻辑绕过了核心代码。还有些会员插件，注册页面会提示“该邮箱已注册”，这同样是枚举漏洞的变种。你得定期扫一遍自己的站点，用脚本模拟枚举攻击，看看哪些路径还在泄露信息。

说到底，用户名枚举不是那种能让你一夜暴富的漏洞，但它像你家门锁上的划痕——不致命，却暗示着有人试过钥匙。安全这行当，怕的不是漏洞多，而是你压根不知道门在哪。WordPress占全球网站的四成以上，攻击者早就把枚举脚本做成了自动化流水线。你每多暴露一个用户名，就等于在流水线上多递了一把刀。