WordPress网站被挂马需系统排查文件、数据库、配置、日志四层面，否则必复发；须先止血备份、再定位PHP后门（如eval/base64_decode等高危函数）、深挖数据库注入与PHP配置漏洞，最后重置凭据、升级程序、禁用危险函数并限制上传目录执行权限。
WordPress网站被挂马，不能只删几个弹窗JS就完事。真正危险的是藏在后台的PHP后门——它可能正在偷偷执行命令、读取数据库、发垃圾邮件，甚至把你的服务器变成攻击跳板。必须从文件、数据库、配置、日志四个层面系统排查，否则清理完两三天又复发。
第一步：立即止血，保留证据
发现异常（如弹窗广告、黑链、莫名跳转）后，先别刷新、别重装、别删文件：
- 用无痕模式打开网站，按F12打开开发者工具，切到Network标签，刷新页面，重点看有没有加载非本站域名的JS/CSS（尤其带
atob、eval、document.write的请求） - 通过FTP或SSH导出当前全部网站文件（含隐藏文件），并导出数据库全量SQL备份（用于后续比对和溯源）
- 临时屏蔽外部访问：在Nginx/Apache中返回503，或在
.htaccess顶部加deny from all（仅保留你自己的IP） - 停止所有计划任务：
sudo -u www-data crontab -l查看是否有可疑定时脚本
第二步：精准定位PHP后门文件
一句话木马常伪装成正常文件，比如cache.php、wp-config-backup.php、images/test.php，靠修改时间+危险函数+权限异常交叉识别：
word报告自动生成神器
下载
Word报告自动生成神器。自动生成专业Word文档报告，支持模板填充、目录生成、表格/图表插入、页眉页脚、多级标题、样式主题、批量邮件合并。当用户需要生成Word报告、创建合同文档、批量生成通知/证书、填充Word模板、制作商业计划书时触发。
- 查最近7天新建或修改的PHP文件：
find /var/www/html -name "*.php" -mtime -7 -ls - 搜高危函数（避开业务代码误报）：
grep -r "eval\|base64_decode\|shell_exec\|system\|assert\|preg_replace.*\/e" /var/www/html --include="*.php" | grep -v "wp-includes\|wp-admin" - 检查上传目录（
/wp-content/uploads/）、缓存目录（/wp-content/cache/）、模板目录（/wp-content/themes/*/）里的陌生PHP文件 - 留意权限异常文件：属主是
www-data但内容明显不像WordPress官方逻辑（如含$_POST['x']、$_GET['cmd']）
第三步：深挖数据库和配置层后门
很多后门不落地为文件，而是藏在数据库或PHP运行环境中：
立即学习“PHP免费学习笔记（深入）”；
- 导出
wp_options表，搜索eval、base64、script、document.write等字符串；重点关注option_name为theme_mods_*、widget_text、auto_update_core的记录 - 检查
wp_posts表的post_content字段，搜索加密JS片段（常出现在文章/页面内容里，用于隐蔽加载广告） - 查看PHP配置：
php -i | grep "auto_prepend_file\|open_basedir\|disable_functions"，确认是否被注入恶意自动前置脚本 - 检查Nginx/Apache配置中是否有异常
fastcgi_param或SetHandler指令，可能导致特定路径绕过权限限制
第四步：安全清理与加固落地
删完不等于安全。漏洞不堵，后门必回：
- 重置全部凭据：WordPress管理员密码、数据库用户密码、FTP账号、SSH密钥、API token
- 升级核心+主题+插件：确保WordPress ≥ 6.7，禁用所有非必要插件，主题优先选官方仓库最新版
- 限制上传目录执行权限：
find /var/www/html/wp-content/uploads -name "*.php" -delete，并在Nginx中添加location ~ ^/wp-content/uploads/.*\.php$ { deny all; } - 关闭PHP危险配置：在
php.ini中设置allow_url_include = Off，disable_functions = system,exec,passthru,shell_exec,proc_open,popen,curl_exec,parse_ini_file,show_source - 启用文件完整性监控：用
sha256sum对wp-includes、wp-admin目录生成哈希清单，定期比对
