WordPress安装目录下的大体积无后缀文件ziY7hRQ8是什么？

可能的文件类型与产生原因 #

• 恶意后门/webshell文件：站点被入侵后，攻击者通常会上传使用随机字符串命名的无后缀文件，规避常规的恶意文件扫描规则。这类文件大多经过二进制混淆处理，普通文本编辑器打开只会显示乱码，体积偏大通常是因为捆绑了恶意攻击载荷或者配套的利用工具。如果你的站点没有自定义过根目录临时文件生成规则，这类随机命名的异常文件是恶意文件的概率极高。
• 插件/主题生成的临时/缓存文件：部分小众备份类、安全类插件，或者二次开发的自定义主题，会在根目录生成随机命名的临时备份包、缓存打包文件。如果文件生成时间刚好对应你执行过站点备份、缓存预生成的操作，可以排查对应插件的运行日志进行确认。
• 更新残留临时文件：WordPress执行核心版本更新、插件/主题更新时，会生成临时的下载、解压文件，正常更新完成后会自动删除。如果更新过程中服务器超时、进程中断，就会残留这类随机命名的无后缀文件。
• 上传失败残留文件：近期如果有通过FTP、后台文件管理器上传文件的操作，上传过程意外中断也可能产生这类随机命名的不完整文件。

排查处理建议 #

• 先查看该文件的创建时间，和站点后台操作日志、服务器访问日志的时间做匹配，确认文件生成的时间点有没有对应的更新、备份、上传操作
• 可以在服务器终端执行file ziY7hRQ8命令，检测文件的真实格式，返回结果会标注该文件是压缩包、二进制可执行文件还是混淆后的脚本文件
• 建议先将该文件单独备份隔离后直接删除，避免存在恶意文件被利用的风险。同时对站点全目录进行恶意文件扫描，排查是否存在其他异常文件，同步修复站点可能存在的安全漏洞（如弱密码、旧版本插件漏洞）

内容的提问来源于stack exchange，提问作者vsilvestre22