如何解决index.php与.htaccess文件持续被篡改并恢复的问题？

核心问题分析 #

你的网站存在持久化后门，不是单纯修复表面文件能解决的——攻击者已经获得服务器或WordPress的控制权，能反复写入恶意文件、修改权限。你提供的.htaccess是WordPress默认重写规则，本身无恶意，不是index.php被篡改的原因。

排查与修复步骤 #

1. 清理服务器层面的后门

• 检查系统定时任务：
  执行命令查看当前用户的定时任务：

  crontab -l
  

  同时检查系统级cron目录：

  ls -la /etc/cron.d/
  ls -la /var/spool/cron/
  

  删除所有陌生的定时任务，比如定时拉取恶意脚本、执行篡改命令的任务。
• 查找隐藏恶意文件：
  遍历网站根目录及子目录，找出隐藏的恶意脚本：

  find /path/to/your/site -type f -name ".*" | grep -v ".htaccess" | grep -v ".wp-config.php"
  

  删除所有名字可疑的隐藏文件（比如.malware.php、.shell.sh）。
• 检查异常进程：
  列出所有运行进程，排查陌生的php-fpm、wget、curl进程：

  ps aux | grep -v grep | grep -E "(php|wget|curl)"
  

  杀掉可疑进程，同时找出进程对应的执行文件删除。
• 检查PHP全局配置：
  查看php.ini或网站根目录的.user.ini文件，检查是否有auto_prepend_file或auto_append_file配置指向陌生脚本，如有直接删除该配置项。

2. 清理WordPress内部的恶意残留

• 重置插件与主题：
  删除所有非官方、非必要的插件和主题；官方插件/主题从WordPress.org重新下载覆盖（不要用本地备份，避免备份已被污染）。
• 检查管理员账号：
  登录WordPress后台，查看「用户」列表，删除所有陌生的管理员账号；同时修改所有现有管理员的密码，使用包含大小写、数字、特殊字符的强密码。
• 检查wp-config.php：
  打开该文件，删除所有额外的恶意代码（比如包含eval()、base64_decode()的语句，或include/require陌生文件的代码）。

3. 修复文件权限

• 统一设置网站文件权限：

  chmod -R 644 /path/to/your/site/*
  find /path/to/your/site -type d -exec chmod 755 {} \;
  

• 调整目录所有权：
  确保网站目录的所有者不是web服务器进程（比如www-data、apache），给web进程仅读取权限，仅让wp-content/uploads等必要目录拥有写入权限。

4. 终极方案：彻底重建环境

如果以上步骤无效，说明后门已经深度植入：

• 仅备份WordPress数据库（不要备份网站文件）；
• 完全清空网站根目录，重新部署官方最新版WordPress；
• 仅安装必要的官方插件/主题；
• 导入数据库，重新配置网站；
• 更换所有相关密码：SSH密码、数据库密码、FTP密码、WordPress管理员密码。

内容的提问来源于stack exchange，提问作者pking