WordPress站点遭恶意篡改求助：文件再生及首页被改问题

一、先切断恶意植入的根源 #

• 修正文件权限：把所有WordPress文件权限设为644，文件夹权限设为755，wp-config.php单独设为600，避免web服务器用户拥有不必要的写入权限。
• 排查系统级后门：
  • 执行crontab -l查看定时任务，删除所有陌生的定时执行命令；
  • 检查服务器~/.ssh/authorized_keys文件，删除非本人添加的公钥；
  • 用top或htop查看系统进程，杀掉名称可疑、占用资源异常的进程。
• 检查数据库篡改：登录数据库管理工具，查看wp_options表的home和siteurl字段是否被修改；搜索所有数据表中包含eval、base64_decode、str_replace的可疑内容，彻底清理注入代码。

二、彻底清理站点内的恶意残留 #

• 完整替换核心文件：不要只替换wp-admin和wp-includes，直接下载与当前站点版本一致的WordPress完整安装包，覆盖除wp-content目录和wp-config.php之外的所有文件，确保核心文件完全纯净。
• 清理wp-content目录：
  • 主题：删除陌生主题，暂时切换到官方默认主题（如Twenty Twenty-Four），检查当前主题的functions.php、header.php、footer.php，删除末尾或隐藏的恶意代码；
  • 插件：卸载未使用的插件，对在用插件，重新从官方市场下载对应版本覆盖替换，排查是否有被篡改的文件；
  • 上传目录：用命令find ./wp-content/uploads -type f -name "*wifi*" -delete批量删除wifi相关恶意文件，同时按创建日期排序，清理近期生成的随机名称陌生文件。
• 检查wp-config.php：打开文件查看末尾是否被追加恶意代码，备份后清理多余内容。

三、强化站点防御避免复发 #

• 全组件升级：把WordPress核心、主题、插件全部升级到最新稳定版，开启自动更新（或定期手动更新），修复已知漏洞。
• 安装安全插件：启用Wordfence或iThemes Security，开启实时恶意扫描、防火墙功能，设置强密码策略，禁止弱密码账号。
• 开启两步验证：给WordPress后台管理员账号、服务器SSH账号都开启两步验证，防止账号被暴力破解。
• 限制后台访问：通过.htaccess文件限制仅指定IP可访问wp-admin，添加规则：

  <Files wp-login.php>
  Order Deny,Allow
  Deny from all
  Allow from 你的常用IP地址
  </Files>
  

四、后续监控 #

• 定期用安全插件扫描站点，开启邮件告警，发现异常及时处理；
• 监控服务器访问日志，排查异常请求（比如大量访问不存在的文件、带恶意参数的请求）；
• 每周对比WordPress核心文件的官方MD5值，确保文件未被篡改。

内容的提问来源于stack exchange，提问作者vania web