WordPress站点非存在URL带斜杠跳转至陌生站点问题排查求助

核心触发逻辑差异 #

不带斜杠的请求（example.org/news/points-to-different-website）会直接进入WordPress路由系统，因不存在对应页面或自定义文章类型，WP返回自定义404页面——这是正常逻辑。

带斜杠的请求（example.org/news/points-to-different-website/）会被Apache先判定为目录请求，此时可能触发以下异常：

1. Apache mod_dir 默认行为被劫持 #

Apache默认开启DirectorySlash On，当请求的目录不存在时，会自动处理斜杠跳转逻辑。如果站点DNS缓存被污染、CDN规则配置错误，或存在针对该特定路径的域名劫持，就会将跳转请求导向恶意站点。

2. 隐藏的重写规则篡改 #

即使检查了站点根目录的Apache配置，也可能存在上层目录的.htaccess文件被恶意添加RewriteRule，针对/news/*开头的带斜杠请求强制重定向；或是服务器全局配置中被悄悄植入了相关规则。

3. 子域名解析混淆 #

攻击者可能注册了news.example.org子域名，利用用户端DNS污染或浏览器解析漏洞，将example.org/news/...的请求误识别为子域名请求，跳转到恶意站点（此情况多发生在用户端而非服务器端）。

Apache配置加固 #

• 禁用mod_dir的自动斜杠处理，在站点配置或根目录.htaccess中添加：

  DirectorySlash Off
  Options -Indexes
  

  前者避免Apache自动处理目录跳转，后者禁止目录列表输出，切断劫持入口。
• 检查所有层级的.htaccess文件（包括服务器根目录、站点上层目录），以及Apache全局配置文件（如httpd.conf、sites-available/下的配置），移除任何未知的RewriteRule、Alias规则。
• 配置严格的虚拟主机匹配，确保只有指定的example.org Host头对应到WP站点，避免默认虚拟主机被滥用。

服务器与DNS防护 #

• 检查域名的DNS解析记录，确认主域名及子域名未被篡改；开启DNSSEC功能防止DNS缓存中毒。
• 验证CDN的缓存与路由规则，确保所有路径的源站指向正确服务器，清理异常缓存条目。
• 扫描服务器是否存在恶意软件或后门，查看Apache访问日志、系统日志，定位触发跳转的异常请求来源。

WordPress层面强化 #

• 添加自定义路由拦截代码到主题functions.php或自定义插件中，拦截所有/news开头的请求，统一返回404：

  add_action('template_redirect', function() {
      if (strpos($_SERVER['REQUEST_URI'], '/news/') === 0) {
          status_header(404);
          get_template_part('404');
          exit;
      }
  });
  

• 使用安全监控插件（如Wordfence）实时监控文件变更，防止.htaccess、WP核心文件被恶意篡改。

内容的提问来源于stack exchange，提问作者kellymandem