WordPress站点Awannews.fr异常跳转至恶意地址 故障排查求助

1. 重定向规则层排查 #

• 优先检查站点根目录下的.htaccess文件，与默认WordPress .htaccess规则对比，删除所有非官方的重定向配置，也可以直接备份原文件后替换为默认规则测试
• 排查Web服务配置：Apache的虚拟主机配置、Nginx的server块配置，确认是否有服务层面的强制跳转规则指向恶意域名
• 登录WordPress后台，进入「设置-常规」页面，核对WordPress地址(URL)、站点地址(URL)两个字段是否被篡改

2. 站点文件层排查 #

• 先禁用所有插件，切换至WordPress官方默认主题，测试跳转是否消失，确认是否为主题/插件植入的恶意代码导致
• 校验WordPress核心文件完整性，可通过官方文件包比对同版本核心文件哈希值，排查wp-includes、wp-admin目录下是否存在被篡改的文件
• 重点检查wp-config.php、当前主题/子主题目录下的functions.php文件，查找是否存在base64加密代码、eval执行语句、header("Location:xxx")类的跳转逻辑
• 全局搜索全站文件中是否包含恶意域名blink.piterreceiver.ga的字符串，快速定位恶意代码的存储位置

3. 数据库层排查 #

• 登录数据库管理工具（如phpMyAdmin），检查wp_options表中siteurl、home字段的取值是否和站点正常地址一致
• 全局检索数据库中是否存在恶意域名的相关记录，部分恶意攻击会将重定向规则写入数据库的选项表、自定义字段表中

4. 缓存/分发层排查 #

• 清空所有层级的缓存：包括服务器端缓存、WordPress缓存插件生成的缓存、CDN节点缓存，排除缓存的旧恶意规则导致跳转的可能
• 临时暂停CDN服务，将域名直接解析到源站IP测试，排查是否为CDN层面被植入重定向规则

5. 清理后安全加固 #

• 恶意代码清理完成后，及时将WordPress核心、所有主题、插件更新到最新安全版本
• 更换所有后台账号密码、数据库密码、FTP/SSH登录密码，使用12位以上的高强度混合密码
• 安装专业安全插件，开启文件修改监控、后台登录限制等防护功能，避免再次被入侵

内容的提问来源于stack exchange，提问作者Sufyan Cheema