Siteground服务器站点反复感染恶意软件，求防护解决方案

哇，13个网站反复中招确实够头疼的——尤其是已经装了Sucuri和Wordfence还没拦住，这种顽固性恶意软件大概率是服务器层面留了后门，或者网站的权限、核心文件漏洞没彻底堵上。我来帮你一步步拆解从服务器到网站的全流程加固方案，彻底解决反复感染的问题：

顽固恶意软件反复再生，90%的原因是服务器里藏了定时任务或者隐藏文件，先从这里下手：

• 用SSH登录服务器，先检查所有隐藏文件（恶意软件常藏在.开头的文件里），执行命令：ls -la，重点看根目录、网站根目录、tmp目录下有没有怪异命名的文件（比如乱码文件名、带随机字符串的php文件），直接删除。
• 检查定时任务（Crontab），恶意软件会加定时任务自动生成恶意文件。执行crontab -e查看当前用户的任务，还要检查其他用户的任务（Siteground里可以通过主机面板的Cron Jobs功能查看所有用户的定时任务），删掉任何陌生、无意义的定时任务。
• 检查.user.ini和.htaccess文件，这两个文件很容易被篡改植入恶意规则。打开这两个文件，看有没有陌生的auto_prepend_file、RewriteRule规则，直接删除可疑内容，或者备份后替换为干净版本。
• 批量定位恶意代码文件：针对你提到的$_i2rmt这段代码，用命令批量查找所有感染的文件：find /path/to/your/sites -type f -name "*.php" | xargs grep -l "$_i2rmt"，找到后直接删除（注意先备份重要文件）。

服务器清完后，要确保网站本身没有漏洞，避免再次被入侵：

• 强制更新所有组件：把所有网站的WordPress核心、主题、插件更新到最新稳定版——旧版本的漏洞是恶意软件入侵的主要途径。如果有插件/主题已经停止维护，直接卸载替换为同类正规插件。
• 替换WordPress核心文件：从WordPress官方下载对应版本的压缩包，解压后覆盖网站的wp-includes和wp-admin目录（别覆盖wp-content和wp-config.php），确保核心文件没有被篡改。
• 清理可疑文件：重点检查wp-content/uploads目录（恶意软件最爱传这里），删掉所有怪异命名的php、exe文件；检查主题目录下有没有陌生的php文件，比如带随机字符串的文件。
• 修复文件权限：设置正确的权限防止恶意软件篡改：
  • 所有文件设为644（所有者可读可写，其他只读）
  • 所有目录设为755（所有者可读可写可执行，其他可读可执行）
  • wp-config.php设为600（只有所有者可读可写）
  • 在wp-content/uploads目录的.htaccess里加规则，禁止执行php文件：

    <FilesMatch "\.(php|php5|php7|php8)$">
        deny from all
    </FilesMatch>
    

• 检查数据库安全：登录phpMyAdmin，查看wp_options表的siteurl和home字段有没有被篡改；检查wp_users表，删掉所有陌生的管理员账号；查看有没有可疑的数据库表（比如乱码命名的表）。

装了安全插件但没拦住，大概率是配置不到位：

• Sucuri配置优化：
  • 开启「Hardening」功能，禁用WordPress后台的文件编辑功能，限制后台登录IP（只允许你常用的IP访问）
  • 设置每日自动扫描，开启「Malware Scanning」和「File Integrity Monitoring」，一旦发现文件篡改立刻报警
  • 启用Sucuri的CDN功能，隐藏服务器真实IP，防止直接攻击服务器
• Wordfence配置优化：
  • 启用「Web Application Firewall（WAF）」，设置为「High Security Level」，拦截恶意请求
  • 开启「Login Security」，设置登录失败锁定（比如5次失败锁定1小时），启用双因素认证（2FA）
  • 开启「File Integrity Check」，把wp-config.php、.htaccess等敏感文件加入保护列表
  • 禁止未知IP访问wp-admin和wp-login.php，在Wordfence的「Firewall Rules」里添加规则限制
• 避免插件冲突：如果两个插件的功能有重叠（比如都做文件扫描），可以暂时只保留一个主力插件，或者调整配置避免重复扫描，降低资源消耗的同时提升防护效率。

• 启用Siteground服务器级防护：Siteground自带Cloudflare Enterprise集成，开启后可以拦截大部分DDoS和恶意请求；另外开启「Site Shield」功能，隐藏服务器真实IP，避免被直接攻击。
• 定期备份：除了Siteground的自动备份，每周手动做一次全备份（文件+数据库），存到本地或者第三方存储，万一再次中招可以快速恢复到干净版本。
• 全员启用2FA：所有管理员账号必须开启双因素认证，即使密码泄露，攻击者也无法登录后台。
• 定期检查日志：每周查看服务器的access.log和网站的错误日志，看有没有异常请求（比如大量访问wp-login.php、怪异的URL请求），及时发现入侵迹象。
• 拒绝破解资源：绝对不要使用nulled（破解）主题和插件，这些资源几乎都被植入了恶意代码，是感染的重灾区。
• 极端情况：迁移到干净环境：如果以上操作后还是反复中招，说明服务器环境可能已经被深度感染，可以在Siteground新建一个主机账户，把清理干净的网站迁移到新账户，彻底脱离旧环境的残留后门。

内容的提问来源于stack exchange，提问作者Jenny's Blog