WordPress网站遭恶意代码注入，eval($_SERVER['HTTP_81DB2B3']反复出现求助

• 定位并清理根源文件
  别只删那行eval($_SERVER['HTTP_81DB2B3']代码，这只是黑客留的表面后门。用Wordfence的文件对比功能，把你的WordPress核心文件、主题、插件和官方原版逐一比对，找出所有被篡改的文件——比如functions.php、根目录/子目录的index.php、wp-includes里的可疑文件，甚至wp-content/uploads里的隐藏PHP脚本（正常上传目录不该有PHP文件）。把这些被篡改的文件直接替换成官方干净版本，不要手动修改内容。

• 清理服务器层面的后门

  • 检查Linux服务器的定时任务：执行crontab -l查看，删掉任何陌生的定时任务（黑客可能设置了定时自动写入恶意代码）。
  • 检查所有.htaccess文件：根目录、wp-admin、wp-content里的都要看，删掉可疑的重写规则、跳转命令，或者允许上传目录执行PHP的配置，恢复成WordPress默认的.htaccess内容。
  • 排查用户账户：后台检查有没有陌生的管理员/编辑账户，直接删除；然后给所有现有管理员账户设置强密码（字母+数字+特殊符号，至少12位），并强制开启两步验证。

• 彻底加固网站安全

  • 把WordPress核心、所有主题、插件更新到最新版本，删掉所有不再使用的主题和插件——旧版本漏洞是黑客入侵的主要入口。
  • 更改WordPress数据库前缀：把默认的wp_改成自定义前缀（比如my_blog_），同时更新wp-config.php里对应的配置项，避免黑客通过默认前缀猜数据库结构。
  • 限制上传目录权限：把wp-content/uploads目录权限设为755，并且在该目录新建.htaccess文件，添加以下内容禁止执行PHP脚本：

    <Files *.php>
    deny from all
    </Files>
    

  • 开启Wordfence的实时防护，设置禁止陌生IP访问wp-admin后台，启用暴力破解防护。

• 持续监控防复发
  接下来一周每天用Wordfence做一次全文件扫描，同时查看服务器访问日志，把频繁访问xmlrpc.php、wp-login.php的陌生IP加入黑名单，确保没有新的后门被植入。

内容的提问来源于stack exchange，提问作者Gede Destrawan