WordPress首页出现陌生异常链接，该如何清理删除？

排查思路 #

前端排查 #

• 先切换WordPress默认主题（如Twenty Twenty系列）测试，若切换后异常链接消失，说明当前主题被篡改，重点检查主题目录下header.php、footer.php、functions.php三个文件，查找硬编码的恶意a标签、注入的恶意JS代码。
• 打开浏览器开发者工具的元素面板，定位红色链接的DOM节点，确认其加载来源：如果仅本地访问可见、其他设备访问无异常，大概率是本地运营商或浏览器插件劫持，无需排查站点。
• 清空站点所有缓存（页面缓存、CDN缓存、浏览器缓存）后重新访问，排除缓存历史恶意内容的可能。

服务端排查 #

• 校验WordPress核心文件完整性，可使用WP-CLI命令wp core verify-checksums做校验，若存在被篡改的核心文件，直接覆盖重装同版本WordPress核心即可。
• 扫描站点全目录文件，筛选最近7天内修改过的php、js文件，检索代码中的eval、base64_decode、陌生外链关键词，排查是否存在webshell或注入脚本。
• 检查站点数据库，首先确认wp_options表（表前缀可能自定义）内siteurl、home字段值是否被篡改，再全局检索数据库内是否存在对应异常红色链接的内容，多数黑产入侵会将恶意内容写入数据库实现批量展示。
• 检查服务器web服务配置（Nginx/Apache配置文件），排查是否被注入全局插入内容、恶意重定向的规则。
• 拉取服务器ssh/ftp登录日志、站点访问日志，排查是否存在异常IP的登录、未知文件上传记录。

修复与防护建议 #

• 确认恶意内容来源后，先彻底清除对应注入代码、数据库恶意字段，立刻修改所有相关密码：WordPress后台账号密码、服务器ssh/ftp密码、数据库密码，所有密码采用12位以上大小写字母+数字+特殊符号的组合。
• 开启WordPress后台登录二次验证，限制后台登录IP，定期自动备份站点文件与数据库。

内容的提问来源于stack exchange，提问作者Services Puzzles Consulting