如何在Cpanel部署的WordPress中排查异常邮件源及黑客代码

第一步：定位邮件发送的触发源 #

• 查看Cpanel邮件日志
  登录Cpanel后，进入Email > Track Delivery查看邮件投递记录，重点看发件人IP、触发发送的脚本路径（日志里会显示调用邮件函数的PHP文件位置）；也可以在Metrics > Raw Access Logs里下载访问日志，搜索sendmail或wp_mail关键词，找到对应的请求记录。
• 临时启用邮件监控插件
  安装WP Mail Logging插件（仅用于排查，排查完成后建议删除），它会记录所有通过WordPress发送的邮件，包括触发邮件的钩子名称、调用文件路径，直接定位到具体插件或脚本。

第二步：排查可疑插件 #

• 插件启停测试
  先一次性停用所有WordPress插件，观察是否还会发送异常邮件。如果停止发送，再逐个启用插件，每启用一个观察1-2小时，找到启用后恢复异常的插件，直接标记为问题插件。
• 检查未知插件
  查看插件列表，删除任何你未主动安装、名称奇怪（比如带随机字符串、仿官方插件名）的插件，这类插件大概率是黑客植入的恶意工具。
• 验证插件文件完整性
  在WordPress后台的插件页面，查看是否有“文件已被修改”的提示；或者从WordPress.org下载对应插件的官方版本，本地对比文件内容，被篡改的插件优先清理。

第三步：查找黑客植入的恶意代码 #

• 扫描核心与主题文件
  检查wp-includes、wp-admin目录下的核心PHP文件，重点看文件开头/结尾是否有base64编码、eval()调用、陌生的include/require语句；主题目录下的functions.php、header.php、footer.php是重灾区，查看是否有额外的邮件发送代码块。
• 查找隐藏的恶意脚本
  查看wp-content/、wp-content/uploads/目录，寻找名称异常的PHP文件（比如123abc.php、image.jpg.php这类伪装文件），这些通常是黑客用来批量发邮件的脚本。
• 检查配置文件
  打开wp-config.php，确认没有额外的恶意define语句或代码；查看.htaccess文件，删除任何陌生的重写规则（比如用来隐藏恶意脚本访问路径的规则）。
• 用Cpanel终端快速搜索
  打开Cpanel的Terminal工具，执行以下命令搜索所有调用邮件函数的PHP文件：

  grep -r "wp_mail\|mail\|sendmail" /home/你的用户名/public_html --include="*.php"
  

  排除已知正常的插件（比如联系表单类）后，剩下的文件重点检查。

第四步：清理与防护 #

• 彻底删除恶意文件/插件，替换被篡改的核心文件：从WordPress官网下载对应版本的核心安装包，替换wp-includes和wp-admin目录（保留wp-config.php和wp-content）。
• 重置所有密码：包括WordPress后台密码、Cpanel账号密码、数据库密码，避免黑客再次登录。
• 开启Cpanel安全功能：启用ModSecurity规则、设置PhpMyAdmin的IP访问限制、开启Hotlink Protection，减少攻击入口。
• 定期备份与更新：每周备份网站文件和数据库；及时更新WordPress核心、插件、主题到最新稳定版本。

内容的提问来源于stack exchange，提问作者hamed fallahi