WordPress项目index.php与wpconfig.php遭恶意代码自动注入求助

这种隔几天就被偷偷加恶意代码的情况真的闹心，我给你梳理几个实用的排查和解决步骤，一步步来搞定它：

• 先干掉恶意注入的源头文件
  你看到的代码里指向了/services/websites/s/s/ssgc.com.pk/public/web/wp-content/uploads/.5334f5306.ico，这个看似是图标文件的东西绝对是恶意脚本！先立刻删掉它，然后去wp-content/uploads目录下仔细排查所有隐藏文件（名字开头带.的），只要是你不认识的、名字乱码的文件，全删掉，别手软。

• 检查服务器的定时任务
  很多黑客会设置定时任务来自动注入代码，你得去服务器控制面板（比如cPanel）里找「Cron Jobs」选项，看看有没有陌生的定时任务——比如每隔一天执行某个奇怪脚本的，直接删除。如果习惯用命令行，就输入crontab -l列出所有定时任务，把可疑的条目删掉。

• 排查插件和主题的漏洞
  大部分入侵都是通过有漏洞的插件或主题进来的，你可以这么做：

  • 把所有插件、主题都更到最新版本，过时版本的漏洞是黑客最爱；
  • 先禁用所有插件，然后观察几天，如果不再被注入，就逐个启用插件，找到那个有问题的直接删掉；
  • 检查主题的functions.php、header.php等文件，看看有没有被偷偷加的eval()、include()这类奇怪代码，发现就删掉；
  • 临时换成WordPress官方默认主题（比如Twenty Twenty-Four）测试，排除主题本身被篡改的可能。

• 加固文件权限
  错误的文件权限会给黑客可乘之机：

  • 把index.php和wp-config.php的权限设为644（所有者可读可写，其他用户只读）；
  • wp-content目录权限设为755，里面的子文件和目录尽量不要开写入权限，除非确实需要；
  • 绝对不要给任何文件设置777权限，这等于把服务器大门敞开给黑客。

• 查看服务器日志找线索
  去服务器的日志文件里挖线索，比如Apache的access.log、error.log，或者Nginx的日志，看看有没有异常访问记录——比如多次尝试暴力登录后台、访问可疑脚本的请求，这些能帮你定位黑客的入侵路径。

• 重装WordPress核心文件
  如果核心文件已经被篡改，你可以去WordPress官网下载最新的核心安装包，然后替换掉除了wp-content目录和wp-config.php之外的所有核心文件，确保核心代码是干净的。

内容的提问来源于stack exchange，提问作者Sharjeel