WordPress网站遭篡改：登录/支付成功后被恶意跳转至外部站点

深层排查与修复方案 #

既然常规的缓存清理、插件禁用、主题切换、文件/数据库字符串搜索都未定位到问题，可按以下方向继续排查：

1. 检查.htaccess隐藏跳转规则 #

• 访问网站根目录，找到隐藏的.htaccess文件，搜索是否包含cartoonmines.com/scount的Rewrite规则，或异常的301/302跳转指令。
• 若发现可疑规则，先备份原文件，删除相关规则后测试；也可替换为WordPress默认.htaccess内容（需备份原文件）：

# BEGIN WordPress
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^index\.php$ - [L]
RewriteCond %{REQUEST_FILENAME} !-f
RewriteCond %{REQUEST_FILENAME} !-d
RewriteRule . /index.php [L]
</IfModule>
# END WordPress

2. 排查服务器配置层面跳转 #

• Apache环境：检查httpd.conf或虚拟主机配置文件（如sites-available下的域名配置），确认是否有硬编码跳转指向陌生域名。
• Nginx环境：查看nginx.conf或站点配置文件中的return、rewrite指令，排查异常跳转逻辑。

3. 检查wp-config.php恶意注入 #

• 打开wp-config.php，排查是否有新增的恶意代码：比如通过add_action/filter注入的跳转逻辑，或被篡改的WP_HOME/WP_SITEURL（可能代码硬编码覆盖数据库配置）。
• 搜索文件中是否存在cartoonmines相关字符串，或可疑的header("Location: ...")跳转代码。

4. 检测数据库序列化数据中的隐藏链接 #

• 直接字符串搜索可能无法匹配序列化后的内容，执行SQL查询排查核心表：

SELECT * FROM wp_options WHERE option_value LIKE '%cartoonmines%';
SELECT * FROM wp_postmeta WHERE meta_value LIKE '%cartoonmines%';
SELECT * FROM wp_usermeta WHERE meta_value LIKE '%cartoonmines%';

5. 扫描服务器恶意脚本与后门 #

• 检查网站目录下的陌生PHP文件：重点关注wp-content/uploads/、wp-includes/等目录，排查随机命名的异常文件。
• 用命令行批量搜索可疑内容：

grep -r "cartoonmines.com/scount" /path/to/your/wordpress/root
grep -r "eval(" /path/to/your/wordpress/root | grep -v wp-includes/script-loader.php

6. 验证DNS与域名解析 #

• 确认topvegans.com的DNS解析记录（A/CNAME）是否正常，无篡改或异常转发规则；检查DNSSEC配置，防范DNS劫持。

7. 联系主机服务商协助排查 #

• 若以上操作均无效，可能是服务器被入侵或主机层面存在恶意配置，联系服务商检查服务器日志、异常进程，排查跨站点恶意脚本影响。

内容的提问来源于stack exchange，提问作者shokoofeh radhoosh