如何清除WordPress网站中的"Annual visitors survey"恶意软件？

1. 深度排查核心与主题文件的隐藏后门 #

• 不要仅依赖Wordfence扫描，手动检查wp-config.php、主题目录下的functions.php、header.php、footer.php，重点找陌生的base64编码、eval()调用、或指向恶意域名的跳转代码。
• 留意主题functions.php里伪装成正常函数的恶意代码，比如绑定到wp_head、wp_footer的异常动作钩子。
• 清理主题/插件目录下的未知PHP文件，比如random.php、update.php这类非官方文件。

2. 清理数据库中的恶意注入 #

• 登录phpMyAdmin，检查wp_posts表的文章内容、自定义字段，批量删除包含恶意域名的注入内容。
• 查看wp_options表，确认siteurl、home未被篡改，删除陌生的选项记录（比如含107.newshurttab.live、paybooroom.live的条目）。
• 执行SQL查询批量清理：例如搜索所有包含恶意域名的记录，统一替换或删除。

3. 替换受感染的核心、主题与插件 #

• 下载官方最新版WordPress，替换wp-admin、wp-includes目录的所有文件（保留wp-content和wp-config.php），修复核心文件篡改问题。
• 切换到WordPress默认主题（如Twenty Twenty-Four），若跳转消失则说明原主题被感染，重新下载官方原版主题或彻底清理主题文件。
• 禁用所有插件，逐个启用排查，删除可疑插件后重新下载官方版本，或更换安全的替代插件。

4. 加固服务器层面防护 #

• 检查网站根目录的.htaccess文件，删除陌生的Rewrite跳转规则，恢复为WordPress默认的.htaccess内容。
• 限制wp-content/uploads目录的PHP执行权限，设置目录权限为755、文件权限为644，阻止恶意脚本运行。
• 查看服务器访问日志，封禁频繁上传恶意文件、异常登录后台的陌生IP。

5. 启用长效安全机制 #

• 给Wordfence开启实时扫描与签名自动更新，设置防火墙规则阻止未知IP的文件上传、PHP执行请求。
• 开启WordPress后台两步验证，避免未授权登录。
• 定期备份网站文件与数据库，出现问题时快速恢复到干净状态。

内容的提问来源于stack exchange，提问作者Mahdi Balkani