WordPress网站后门重定向spam无法定位恶意文件求助

恶意文件定位排查 #

• 先排查扫描标记路径下的隐藏文件：Linux 服务器用 ls -la 命令查看对应目录下带 . 前缀的文件，常规文件管理器默认不显示隐藏文件，这是你能扫到路径但找不到文件的核心原因
• 遍历检查 wp-content/uploads 目录下的所有 PHP 文件，正常该目录仅存储媒体资源，所有 PHP 文件均为异常恶意文件
• 校验 WordPress 核心文件完整性：可使用 WP-CLI 执行 wp core verify-checksums 命令，或在后台工具页触发核心文件校验，匹配失败的文件全部下载人工审计
• 检查服务器伪静态规则：查看站点根目录 .htaccess 文件（Apache）或 Nginx 站点配置内的重写规则，大量恶意跳转直接写在伪静态规则内，不需要独立存储恶意文件

代码注入项排查 #

• 检查当前活跃主题的 functions.php、header.php、footer.php 文件，排查是否被插入 base64 编码的 JS/PHP 代码，尤其是绑定点击事件触发跳转的逻辑
• 排查数据库注入内容：登录数据库管理工具，首先核对 wp_options 表的 siteurl、home 字段是否被篡改，再全局搜索恶意跳转域名关键词，很多恶意代码会存储在文章、小工具、主题配置字段中
• 核对后台用户权限：检查 WordPress 后台用户列表，确认是否存在未知的管理员权限账号，黑产常通过新建隐藏管理员留持久化后门

清理与防护操作 #

• 直接删除所有确认的恶意文件，核心文件被篡改的，从 WordPress 官方下载对应版本的安装包，覆盖对应目录的文件即可
• 批量清理数据库内检索到的恶意代码片段，将伪静态规则还原为 WordPress 默认规则
• 全量更换后台账号密码、数据库密码、FTP/SSH 账号密码，关闭服务器不需要的对外开放端口
• 清空站点 CDN 缓存、服务器缓存、本地浏览器缓存，用无痕模式访问站点测试点击跳转是否复现
• 后续开启 Wordfence 实时写入防护规则，拦截未授权的文件写入、数据库修改操作

内容的提问来源于stack exchange，提问作者Dunjin Dev