考虑一下 WordPress，它在/wp-admin/目录中包含了所有的管理功能。因此，它的管理 URL 都以/wp-admin/. 我想知道让每个安装使用唯一名称作为管理文件夹和 URL 是否会更加安全，例如，特定安装的管理文件夹可能是/8404f25a73ec25d1/.
首先想到的是，这是通过默默无闻的安全性。但是，这似乎是针对自动化脚本的有效第一道防线。如果名称足够随机且足够长，则攻击者无法猜出 admin 文件夹的名称。此外，在针对管理员方面新发现的安全漏洞的零日攻击中，这可能是唯一的防御措施。
像 WordPress 这样的现成 Web 应用程序是否应该提供一种更改默认管理 URL 的方法？
需要明确的是，我不认为这应该取代任何其他安全措施；我只是想知道额外的安全性（如果有的话）是否值得付出努力。
毫无疑问，它将保护您免受依赖 wp-admin 目录位置作为其编程一部分的自动攻击，这并非无关紧要，因为自动攻击构成了绝大多数 wordpress 妥协。您可以通过 obscurity将其称为安全性，但实际上您并没有用 obscurity替换您的任何安全设备，而是在增强它。因此，更好的术语是纵深防御。
请注意，更好的策略是要求 HTTP 身份验证才能访问wp-admin目录。只需在其中插入一个 .htaccess 文件和 .htpasswd 文件即可。这被广泛认为和推荐为一个好主意。这样，您不仅必须登录 wordpress 才能使用管理功能，而且还必须向服务器提供密码，以允许它显示该目录中的任何内容。这可以保护您免受各种身份验证绕过漏洞（如果它们出现）的影响。
有关更多类似的“好主意”，请参阅Hardening Wordpress文档的其余部分。
非标准 URL 类似于使用非标准端口（例如，将您的 SSH 服务器不在端口 22 上，而是在其他端口上）：它们可能有助于抵御自动攻击，并不是真正的安全，而是为了减少噪音。一个标准的“管理员”URL 每天将获得数百次连接尝试，生成大量日志，从而阻止对非自动攻击的有效检测，这种攻击是您应该担心的。
但是，将 URL 更改为一些非标准的、特定于站点的值可能会产生隐藏成本。例如，如果主页上有一个“管理”按钮，则必须调整该按钮以指向实际的管理 URL；在随软件提供的 HTML 文件中硬编码链接值将不再起作用。请注意，如果通过此类按钮进行广告宣传，此非标准 URL 将不会完全保密......
因此，如果您可以轻松地，只需很少或没有开销，就可以将“管理员”URL 更改为某个非标准值，那么请务必使用它。只是不要相信它真的增加了安全性。它的工作是减少来自无意识攻击自动机的噪音（这可以促进更有效的攻击检测，这可能间接地帮助您的安全）。
我认为更改默认值以避免简单的 0day 攻击是一种被大大低估的防御策略。坏人已经使用谷歌调查和构建了现有系统和版本指纹的数据库，并渴望下一个 0day 快速利用。这可能是反社会的，但我很乐意让不那么谨慎的网站在第一波攻击中首当其冲。
在我看来，这可能是一个很好的衡量标准，具体取决于需要访问管理界面的用户类型。如果他们是需要知道而不考虑管理界面在哪里的用户，则将其更改为困难的字符串可能会导致写下 URL 或持续的支持电话。如果他们技术娴熟且人少，这可能是一个很好的额外安全措施。
看看这个问题https://security.stackexchange.com/questions/41282/what-can-i-do-with-an-admin-password-and-email。我的建议是查找默认管理员 URL，因此如果它已更改为随机字符串，任何脚本小子都很难找到它。