WordPress 被挂马后，最常见的表现是：访问网站跳转到博彩/色情站、搜索引擎结果里出现大量陌生页面、服务器 CPU 跑满、后台莫名多出管理员账号。先给结论：不要急着删文件了事，先隔离、再定位入口、后清理、最后加固并复盘。顺序错了，马清完几天又回来。
一、第一步：隔离与备份，别让损失扩大
发现挂马后立刻做三件事，顺序不能反：
- 把站点切到维护模式，或直接在 Nginx/Apache 层面对外返回 503，阻断攻击者继续操作。
- 完整打包一份现场（数据库 + 网站目录），留作取证。别在原环境里直接改，改完就说不清哪来的马。
- 如果用的是虚拟主机/云服务器，先改掉 SSH、数据库、WP 后台所有密码，并检查是否有异常登录 IP。
备份命令示例（服务器上执行，注意排除缓存目录）：
cd /www/wwwroot
tar -czf /root/site-backup-$(date +%F).tar.gz yoursite.com
--exclude='wp-content/cache' --exclude='wp-content/uploads/cache'
mysqldump -u dbuser -p dbname > /root/db-backup-$(date +%F).sql二、定位入口：从日志和文件时间戳入手
挂马文件通常有迹可循，按下面顺序查效率最高：
- 看访问日志：找 POST 到
wp-login.php、xmlrpc.php、admin-ajax.php的高频 IP，以及访问陌生 PHP 文件的记录。 - 按时间排序找可疑文件：
find . -type f -mtime -30 -name "*.php"，重点看 wp-content、wp-includes、根目录。 - 找典型后门特征：
grep -rn "eval(|base64_decode(|assert(|system(|shell_exec(" --include="*.php" .，注意很多正常主题也会命中，要人工判断。 - 检查计划任务：
crontab -l，恶意 cron 是常见的复活手段。 - 检查数据库：
wp_options里的siteurl、home是否被改，wp_users里有没有陌生管理员。
同时用 Wordfence、Sucuri SiteCheck 或 VirusTotal 交叉验证，但不要只依赖扫描结果。
三、清理：删马、清权限、补漏洞
确认可疑文件后，按这个流程处理：
- 删除所有确认的恶意文件，包括上传目录里的
.php（正常图片目录不该有 PHP）。 - 用官方源重装 WordPress 核心：
wp core download --force --skip-content，再逐个重装主题和插件，别用“覆盖”糊弄。 - 删除陌生管理员账号，重置所有用户密码，并强制退出全部会话。
- 检查
.htaccess、wp-config.php是否被插入恶意代码。 - 修复入口漏洞：通常是插件/主题过旧、弱密码、文件权限过宽（目录 755、文件 644 即可，不要 777）。
四、加固与复盘：防止二次入侵
清理完只是止血，加固才是关键：
- 开启 WAF（Cloudflare、宝塔防火墙或 Wordfence），限制
wp-login.php和xmlrpc.php访问频率。 - 强制强密码 + 两步验证，禁用后台文件编辑：在
wp-config.php加define('DISALLOW_FILE_EDIT', true);。 - 关闭目录索引，禁止上传目录执行 PHP（Nginx 示例）：
location ~* /wp-content/uploads/.*.php$ {
deny all;
}
location ~ /.(htaccess|git|env) {
deny all;
}- 建立自动备份（异地 + 保留多版本），确认备份可还原，别等出事才发现备份是坏的。
- 订阅插件漏洞通告，核心/插件/主题保持更新，但更新前先备份。
最后提醒一句：如果站点涉及用户数据或已经影响业务，别硬扛，及时找专业安全团队做取证和清除，避免二次损失。
