如何定位篡改WordPress谷歌搜索入口亚马逊联盟链接的恶意JavaScript

• 模拟谷歌搜索访问场景抓包排查
  打开浏览器开发者工具（按F12），切换到「Network」标签，勾选「Preserve log」，再从谷歌搜索结果点进你的站点。筛选出所有JS文件，重点排查陌生文件名、不在主题/插件官方目录下的文件，这类文件大概率是恶意代码载体。

• 断点监控DOM篡改行为
  在开发者工具的「Elements」标签里找到被篡改的亚马逊链接，右键选择「Break on > Attribute modifications」。一旦有JS修改该链接的href属性，浏览器会自动暂停，此时查看调用栈就能直接找到触发篡改的JS代码及其所在文件。

• 排查WordPress核心、主题和插件
  登录WP后台，先删除近期新增或不知名的插件，再切换到官方默认主题（比如Twenty Twenty-Four），验证问题是否消失，以此锁定是插件还是主题被植入恶意代码。同时检查wp-config.php、主题目录下的functions.php文件，看是否有陌生的代码片段，比如莫名其妙的wp_enqueue_script调用。

• 检查服务器端注入痕迹
  查看服务器上的.htaccess文件和站点根目录的index.php文件，确认是否被添加了陌生的PHP或JS代码——这类服务器端注入也会导致特定场景下加载恶意脚本。

• 全局搜索恶意关键词
  用服务器文件管理器或WP文件管理插件，全局搜索你示例里的恶意ID「douchebagscammercode」，直接定位包含该关键词的文件，精准找到恶意代码位置。

内容的提问来源于stack exchange，提问作者acedd2