服务器疑似被入侵：Apache日志异常本地请求及Wordfence检测到木马

让我一步步拆解你遇到的问题，每个现象背后的含义和对应的应对方式都给你理清楚：

一、DDoS攻击与Cloudflare防护的有效性 #

你启用Cloudflare并限制源站仅接收其IP访问的操作完全正确——Cloudflare作为反向代理，把DDoS攻击流量全部挡在它的边缘节点，你的源站只会收到经过Cloudflare验证的合法请求，这也是目前缓解中小规模DDoS最有效的手段之一，所以攻击被阻断是预期结果。

二、Ubuntu服务器IP的/wp-login.php暴力破解尝试 #

• 这类批量来自Ubuntu环境IP的请求，是针对WordPress的典型暴力破解攻击：攻击者用自动化工具（比如Hydra、wfuzz）遍历常见用户名（比如admin）+弱密码组合，试图登录后台获取服务器控制权。
• 为什么集中在Ubuntu IP？很多攻击者会租用批量廉价Ubuntu云VPS作为攻击肉鸡，这类IP通常来自云服务商的固定IP段，容易被批量管控发起攻击。
• 这个阶段还属于攻击尝试，不算入侵成功，但如果你的后台用户名是默认值、密码强度低，风险极高，必须及时加固。

三、Apache日志中127.0.0.1对外请求的警示 #

这是服务器已被入侵的明确信号：

• 127.0.0.1是本地回环地址，意味着这些请求是从你的服务器内部发起的，而非外部攻击者直接请求。
• 攻击者大概率已经通过某种方式拿到了服务器权限：要么是之前的暴力破解成功登录WordPress后台，篡改了文件；要么是利用了服务器上的其他漏洞（比如Apache、PHP的未修复漏洞），部署了代理脚本或肉鸡程序，把你的服务器变成攻击其他网站的跳板。
• 这类请求会消耗你的服务器带宽、CPU资源，还可能导致你的服务器IP被各大安全黑名单标记，影响正常业务访问。

四、Wordfence检测到的伪装木马代码 #

伪装成WordPress Toolbar API的木马是典型的Webshell后门：

• 攻击者故意把恶意代码包装成WordPress官方组件（Toolbar API是后台顶部工具栏的核心接口），目的就是隐藏痕迹，避免被普通用户或基础检测工具发现。
• 这类木马的核心功能通常包括：
  • 允许攻击者远程执行任意代码（比如修改服务器文件、添加WordPress管理员账户、读取敏感配置）
  • 维持持久化访问（哪怕你修改了后台密码，攻击者也能通过木马重新获取权限）
  • 转发攻击流量（和前面的127.0.0.1对外请求完全对应）
• Wordfence的检测结果可靠性很高，必须立即处理，不能忽视。

五、应急处理与加固建议 #

紧急止损步骤 #

1. 临时隔离服务器：如果业务允许，暂时断开服务器公网连接，避免继续被用作攻击跳板，同时阻止攻击者进一步渗透。
2. 清除恶意代码：
   • 用Wordfence的一键清理功能处理检测到的木马，之后手动检查/wp-content/plugins/、/wp-content/themes/目录下最近修改的未知文件，彻底删除可疑内容。
   • 重新安装WordPress核心文件（记得先备份数据库和重要文件），替换掉可能被篡改的核心组件。

排查入侵入口 #

• 检查WordPress后台管理员列表，删除所有陌生账户；给所有管理员设置包含大小写、数字、特殊字符的强密码。
• 查看Ubuntu系统的SSH日志（/var/log/auth.log），排查是否有异常登录记录；建议修改SSH端口为非默认值，禁用密码登录改用密钥认证。
• 回溯Apache日志，查找除了暴力破解之外的异常请求，比如访问过某个未更新的插件/主题漏洞文件。

长期加固措施 #

• 禁用WordPress的XML-RPC功能（很多暴力破解通过这个接口发起），在wp-config.php中添加：define('XMLRPC_REQUEST', false);
• 安装登录限制插件（比如Limit Login Attempts Reloaded），防止暴力破解尝试。
• 配置Ubuntu防火墙ufw，只开放必要端口（80、443、22），并限制SSH的登录IP范围。
• 定期更新WordPress核心、插件、主题，关闭并删除未使用的插件/主题，避免已知漏洞被利用。

后续监控 #

处理完成后，持续观察Apache访问日志、系统资源使用情况（CPU、带宽），确保没有新的异常请求或未知进程出现。

内容的提问来源于stack exchange，提问作者Oscar