WordPress恶意代码解码与网站感染清除技术问询

• 提取核心混淆片段：从被感染的index.php中剥离出恶意代码块（通常是嵌套了eval、base64_decode、字符替换的代码段），排除正常WordPress代码。
• 分层逆向解码：这类恶意代码多采用多层嵌套编码，需逐步拆解：
  1. 把eval(...)中的内容替换为echo，保存为本地临时PHP文件执行，得到下一层未混淆代码；
  2. 若遇到自定义字符替换逻辑（如str_replace数组映射），手动反向替换字符或编写简单脚本还原；
  3. 针对base64_decode、str_rot13这类标准编码，直接用echo base64_decode('编码内容');在本地PHP环境运行解码，禁止在服务器上执行未验证的解码脚本。
• 追踪核心逻辑：解码后重点定位文件写入（file_put_contents）、进程守护（shell_exec、exec）、定时任务（cron）相关代码，这些是恶意代码自动恢复的关键。

• 临时权限锁定：将网站根目录及子目录权限临时改为750，文件权限改为640，限制www-data用户的写入权限，阻止恶意代码自动改写文件。
• 清理感染文件：
  • 用官方WordPress对应版本的干净index.php覆盖服务器文件；
  • 用命令批量扫描感染文件：grep -r "eval(base64_decode\|shell_exec" /path/to/your/wordpress，逐一清理所有被植入恶意代码的PHP文件，重点检查wp-includes、wp-admin核心目录及主题的functions.php、header.php。
• 终止恶意进程与定时任务：
  • 列出www-data用户的所有进程：ps aux | grep www-data，识别并终止可疑的PHP、bash进程：kill -9 [进程ID]；
  • 查看www-data的定时任务：crontab -u www-data -l，删除所有非手动添加的定时脚本（尤其是周期性执行的恶意任务）。
• 修复权限与漏洞：
  • 重置网站权限：核心文件设为644，目录设为755，确保www-data仅对wp-content/uploads目录有写入权限；
  • 立即升级WordPress核心、所有主题及插件至最新版本，删除未使用的主题和插件，关闭不必要的功能。
• 清除跳转逻辑：
  • 检查数据库wp_options表的siteurl、home字段，确认未被篡改；
  • 查看主题模板文件，删除可能存在的跳转JS代码或恶意HTML注入。

内容的提问来源于stack exchange，提问作者andrei RAX