WordPress站点遭white.belonnanotservice恶意跳转劫持该如何修复？

临时止损操作 #

• 立刻开启站点维护模式，避免访客被恶意跳转引流，同时防止恶意程序进一步扩散感染
• 完整备份当前站点的所有文件和数据库，哪怕是被感染的版本，用于后续操作出错时回滚
• 临时限制站点访问权限，仅开放自己本地IP的访问入口，防止黑客继续操作篡改站点

恶意程序彻底清理步骤 #

1. 文件层面查杀 #

• 重点排查三个目录：站点根目录、wp-content、wp-includes，优先找修改时间和其他正常文件不符的异常php、js文件，white.belonnanotservice恶意代码通常会注入到当前主题的header.php、footer.php、functions.php，或伪装成wp-includes/js目录下的系统js文件
• 批量扫描所有文件内容的white.belonnanotservice关键字，删除所有匹配到的恶意注入代码
• 校验WordPress核心文件完整性，可通过wp core verify-checksums（需安装WP-CLI）快速识别被篡改的核心文件，替换为对应版本的官方原版文件
• 卸载所有非官方渠道下载的破解主题、插件，这类资源是该恶意程序的最常见入侵入口
• 检查根目录下的.htaccess文件，删除所有未知的重定向规则，替换为WordPress默认的.htaccess配置
• 排查服务器定时任务（crontab），删除所有非自己创建的未知定时任务，避免恶意程序被定时恢复

2. 数据库层面查杀 #

• 登录数据库管理工具，全局搜索white.belonnanotservice关键字，清理wp_options、wp_posts、wp_postmeta等表中匹配到的恶意跳转代码
• 排查所有后台管理员账户，删除非自己创建的高权限账号

注意：清理完成后先清空站点缓存、浏览器缓存，再验证跳转问题是否消失，避免缓存导致误判

后续安全加固 #

• 批量修改所有关联密码：WordPress后台账号、数据库账号、FTP/SSH账号，统一使用16位以上包含大小写、数字、特殊符号的强密码
• 在wp-config.php中添加define( 'DISALLOW_FILE_EDIT', true );，关闭后台的主题、插件在线编辑功能
• 及时更新WordPress核心、主题、插件到最新官方版本，避免存在未修补的安全漏洞
• 配置目录访问限制，仅开放指定IP对wp-admin后台目录的访问权限

内容的提问来源于stack exchange，提问作者Omar Malas