WordPress网站间歇性跳转至诈骗站点lan05(dot)biz问题排查求助

• WordPress核心/主题/插件残留恶意代码：即便已更新WP和插件，旧版本被注入的恶意代码可能未被覆盖，比如主题的functions.php、自定义模板文件，或是插件遗留的恶意片段。
• 恶意文件上传：若网站允许文件上传，可能存在伪装成图片的恶意脚本，或是之前上传的文件被篡改。
• .htaccess文件被篡改：WordPress的重定向逻辑常被恶意代码通过修改.htaccess实现，偶尔跳转大概率是该文件中存在触发式恶意规则。
• 数据库注入：恶意代码可能藏匿在数据库的文章、选项表中，比如wp_options里的site_url、home字段被篡改，或是文章内容中隐藏了跳转脚本。
• 托管环境牵连：同服务器其他站点被感染后可能牵连到你的站点，不过这类问题需托管方排查，先优先排查自身可控范围。
• 安全证书问题（关联可能性较低）：中级安全证书缺失主要影响HTTPS访问，但不排除恶意利用证书漏洞发起跳转的可能，建议后续和托管方同步该问题。

• 检查并修复.htaccess文件：通过FTP或托管方的文件管理器找到网站根目录的.htaccess，先备份一份，再打开查看是否有陌生的RewriteRule规则（比如指向lan05.biz的跳转代码），删除可疑规则后保存，测试网站跳转情况。
• 排查主题核心文件：进入WP后台「外观-主题编辑器」，查看当前主题的functions.php、header.php、footer.php，检查是否有陌生PHP代码、JS跳转脚本（如window.location.href = "https://lan05.biz"这类代码），发现可疑内容后备份删除，也可临时切换到默认主题（如Twenty Twenty-Four）测试是否还会跳转。
• 扫描媒体库及上传目录：进入WP后台媒体库，检查近期上传的文件，重点排查文件名异常、后缀非图片/文档的文件；若有FTP权限，直接查看wp-content/uploads目录，删除陌生的脚本文件（如.php后缀的“图片”）。
• 检查数据库关键配置：若托管方提供phpMyAdmin权限，登录后查看wp_options表，确认siteurl和home字段值为你的官方域名；同时搜索wp_posts表，检查文章内容中是否隐藏了恶意跳转代码。
• 禁用所有插件排查：在WP后台「插件-已安装插件」批量禁用所有插件，测试网站跳转情况。若禁用后跳转消失，再逐个启用插件，定位出触发问题的插件（即便已更新，也可能存在残留恶意代码或更新不彻底）。
• 重新安装WordPress核心：进入WP后台「仪表盘-更新」，点击「重新安装现在」，覆盖核心文件，确保核心代码无恶意残留。
• 清除网站缓存：若使用缓存插件（如WP Rocket）或托管方提供服务器缓存，清除所有缓存，避免恶意代码被缓存导致的间歇性跳转。

内容的提问来源于stack exchange，提问作者Stephen