被黑WordPress移除赌场低层级链接及排查注入来源方案

你遇到的是典型的恶意代码注入攻击：站点内容两侧出现低z-index的隐形赌场链接，数据库存在home_links_custom_%恶意选项，主题目录还有可疑备份文件functions.php_bak。下面是具体排查和清理步骤：

代码来源排查 #

排除官方WordPress核心 #

WordPress官方核心绝对不会生成home_links_custom_%这类自定义选项，更不会渲染隐形赌场链接，直接排除核心问题。

排查插件问题 #

• 先禁用所有插件，观察隐形链接是否消失。如果消失，逐个重新启用插件，定位到导致问题的恶意/被篡改插件。
• 检查每个插件的代码，搜索是否有调用get_option('home_links_custom_*')的逻辑，或者直接输出隐形链接的代码。注意有些恶意插件会伪装成正常插件，比如名称和官方插件几乎一样但有细微拼写差异，或者是被植入恶意代码的正版插件。

排查主题及注入代码 #

• 检查当前启用的Sydney主题的functions.php，看是否有引入functions.php_bak的代码，或者直接包含渲染隐形链接的逻辑。
• 搜索主题所有PHP文件，查找是否有读取home_links_custom_%选项并输出链接的代码。别忘了检查header.php、footer.php这类模板文件，黑客常把恶意代码藏在这里。

攻击者上传备份文件的可能途径 #

• 插件/主题漏洞利用：如果站点用了过时的插件（比如老旧的表单、媒体插件）或者主题，可能存在文件上传漏洞，被攻击者用来上传恶意文件。
• 弱密码入侵：管理员账号、FTP/SFTP账号密码太简单，被暴力破解后，攻击者直接登录后台或服务器上传文件。
• 服务器权限配置错误：wp-content/themes/这类目录权限设成了777，允许任意用户上传文件；或者PHP配置没禁用危险函数（比如exec、system），攻击者通过代码执行上传文件。

彻底清理步骤 #

1. 先做备份与隔离 #

• 备份整个站点的文件和数据库，避免清理时丢数据。
• 把站点切到维护模式，别让用户访问被篡改的页面。

2. 清理数据库恶意选项 #

• 执行SQL语句删除所有home_links_custom_%前缀的选项：

  DELETE FROM wp_options WHERE option_name LIKE 'home_links_custom_%';
  

  注意把wp_换成你的数据库表前缀。
• 顺便检查其他可疑选项，比如名称奇怪的自定义选项，或者被篡改的siteurl、home配置。

3. 清理恶意文件 #

• 直接删除/wp-content/themes/sydney/functions.php_bak，同时检查同目录下有没有其他后缀为.bak、.php~的备份文件，一并删掉。
• 对比官方正版Sydney主题的代码，替换被篡改的主题文件（比如functions.php、模板文件）。要是拿不准哪些文件被改了，直接重新安装官方最新版Sydney主题（记得备份主题的自定义设置）。
• 删掉所有可疑插件，重新安装正版、最新版本的必要插件。
• 扫描整个wp-content目录，找文件名奇怪、代码混淆的PHP文件——比如wp-content/uploads/里有没有伪装成图片的PHP文件，发现就删掉。

4. 修复漏洞防止再次入侵 #

• 把WordPress核心、所有插件、主题更到最新版，修复已知漏洞。
• 重置所有管理员、编辑账号的密码，用复杂的强密码（大小写+数字+特殊字符）。
• 调整服务器文件权限：wp-content目录设为755，文件设为644，别给太高的可写权限。
• 配置PHP安全设置：禁用exec、system、passthru这类危险函数，关闭allow_url_include，开启open_basedir限制PHP访问目录。

5. 后续监控 #

• 装个安全插件（比如Wordfence、iThemes Security），开实时监控，检测文件篡改和异常登录。
• 定期扫描站点文件和数据库，检查有没有新的恶意代码注入。
• 定期备份站点，确保出问题时能快速恢复。

内容的提问来源于stack exchange，提问作者user1782357