如何清理被黑客入侵或恶意软件感染的WordPress网站

[v_notice]当wordpress被黑时该怎么操作呢？以下教程希望可以帮助到你，不仅适用在wordpress，其他类型的网站也可以根据这个思路排查[/v_notice]

恶意软件可能会破坏您的网站。它不仅可以插入广告或将用户重定向到其他网站，还可以使您的网站从搜索引擎和其他在线服务中被列入黑名单。幸运的是，恶意软件通常被编码在文件中，例如数据库中，插件中或易于删除的主题中。在本文中，我们将介绍如何清理被黑客入侵或感染的WordPress网站。在此处继续阅读或观看视频：
[v_error]

恶意软件示例：重定向

[/v_error]

这是一个被恶意软件感染的网站的示例。这种类型的恶意软件称为重定向。当访客尝试访问该网站时，会将他们重定向到另一个网站，该网站通知他们他们具有间谍软件，病毒等，以试图向他们出售可以从其计算机中清除恶意软件的软件。看起来像是来自Microsoft或某些值得信赖的公司的官方警告，但这是虚假的。

这是实际的网站。在这种情况下，您只需要再次访问URL，它将使您直接进入实际的（尽管受感染的）网站。这种特定的恶意软件不是对您的计算机的威胁，它重定向到的站点只是试图吓您以反恶意软件的名义安装某些恶意软件，如果您下载并安装了该恶意软件，则可能是一个真正的问题。

[v_error]如何清理被黑客入侵或感染的WordPress网站[/v_error]

以下是检查和清理恶意软件站点的步骤。

1.确定感染类型

使用Sucuri Site Check之类的扫描仪，获取有关该站点的信息。它表明该站点包含恶意软件，并且已将其列入黑名单。它显示了发现恶意软件的文件夹。单击链接以查看更多信息。在此示例中，恶意软件条目是重定向。

单击更多详细信息以查看脚本。这提供了可用于故障排除的信息。例如，您可以使用脚本的URL并搜索数据库以查找脚本本身以将其删除。

打开每个详细信息以获取尽可能多的信息。此示例显示了一个cookie，其中添加了另一个要检查的URL。

黑名单信息显示哪些网站已将您的网站列入黑名单。在此示例中，它同时出现在Norton和Yandex列表中。清除所有恶意软件的网站后，如果您想向Sucuri付款以将其提交给他们进行重新评估，则可以单击“ 请求黑名单删除”。否则，每个站点都有其自己的方法，您可以找到免费提交站点以进行重新评估的方法。

2.评估WordPress当前的安全状况

登录到WordPress网站。在这种情况下，有很多可用的更新。WordPress不会突出显示当前版本，因此可能很难知道它有多旧。您可以在“ 概览”窗口的仪表板上找到当前版本。

在这种情况下，站点正在运行安全性插件，但是可能尚未配置或更新。即使安全性插件也可能具有漏洞，如果插件未更新，则黑客可以利用它们。

3.确定如何设置WordPress

登录到主机的cPanel或FTP帐户并查看文件。这是HostMonster的cPanel。大多数主机都有自己的cPanel设计，但是这些工具和功能将大致相同。在cPanel中，选择“ 文件管理器”。

接下来，确定该特定网站的文件存储位置。在这种情况下，该域有三个可能的网站。

如果有多个WP站点，请找到正确的文件夹和数据库

为了确定此站点属于cPanel上的哪个文件夹，请转到cPanel中的phpMyAdmin。您可以在“ 数据库工具”下找到它，也可以搜索它。

数据库列表显示在左侧窗口中。打开数据库之一，然后打开wp_options表。这将打开文件，以便您可以检查与文件关联的域。该站点确实具有正确的域名和站点名称，但它可能不是实时站点。检查其余数据库，并确定与该站点关联的所有数据库。

为了帮助找到正确的数据库，请访问WordPress网站并查找该网站与数据库之间匹配的内容。例如，查看标语是否与实时网站匹配。

返回cPanel（或FTP并导航到相同的文件）。首先在public_html位置检查站点。选择并编辑wp_config.php文件。查找数据库名称。在此示例中，它匹配了我们已经确定不是实时站点的数据库。由于此版本的网站尚未更新，因此存在责任，因此很容易受到攻击。应该将其从服务器中删除。

如果仍然不确定数据库是否正确，请在实时站点上更改标语。这将被写入数据库，并且实时数据库将易于识别。所有其他数据库和关联的文件夹应删除。

在这一点上，我们不知道哪些文件应该在这里，哪些文件不应该在这里。在我们的示例中，此WordFence文件可能不是合法文件。每个文件都需要分析或删除。最好删除它们并安装新版本的插件。

使用FTP

或者，您可以使用FTP访问文件。在您的cPanel中，选择FTP并设置一个新的FTP帐户。

接下来，使用FTP客户端（例如Mac的Transmit），如上所示。这显示了与使用cPanel时将看到的相同的文件结构。要查看所需的一切，请打开隐藏文件。

4.用干净副本或备用副本替换插件

首先删除旧插件并获取新副本。旧的插件可能具有安全漏洞，从而为黑客提供了后门。删除它们会删除文件夹本身，包括该文件夹中可能存在的所有恶意软件。重新安装这些站点需要的内容。另外，寻找更好的插件。确保检查插件是否存在已知漏洞。

单击插件列表中每个插件的查看详细信息链接，以查看它们的最新更新时间。在这种情况下，此插件已在7年前更新。最好不要使用一两年以上未更新的插件。删除所有较旧的插件。这将删除网站的某些功能，但是最好用较新的插件替换这些功能。

即使对于最近更新的插件，最佳实践也是对其进行更新，以使数据库中作为更新一部分进行的任何更改都将发生。然后从WordPress.org或该插件来自的任何地方下载新副本。现在，进入主机的文件管理器或FTP客户端，然后删除plugins文件夹。然后上传插件的新副本以替换它。

5.用干净的副本替换WordPress主题

过时的主题还可能包含黑客可以使用的后门。检查当前主题是否已更新。删除该站点未使用的所有主题。删除网站正在使用的主题，然后上载新副本，以确保主题文件夹中没有隐藏受感染的文件。在删除主题之前，请确保备份所有主题文件，布局，自定义设置等。

单击主题详细信息内的链接，以查看主题的最新更新时间。在这种情况下，主题开发者的网站不再存在。删除所有旧主题。如果当前主题没有更新，则将其替换为WordPress存储库中较新的默认主题之一。

对于您保留的所有主题，最好下载最新版本的完整副本。然后，就像使用插件一样，通过文件管理器或FTP删除文件夹，并在其位置上载新的干净副本。这样，您就知道所有文件都适合该主题，并且尚未注入恶意软件。

6.用干净的副本替换WordPress核心并清理其他文件

打开每个文件，以确保您确实需要它们。删除不需要的任何内容。打开.htaccess文件，并确保该文件是干净的。恶意软件通常不会写入.htaccess文件，但是有可能，并且可能会对网站造成很多损害。您可以从WordPress.org获取干净的代码，然后将其粘贴回您网站的文件中。保留wp-content文件夹不变，因为您不想删除所有插件，主题和媒体文件。

浏览每个WordPress文件夹，查看是否有不应该存在的文件。检查wp-content文件夹（例如，插件，主题和上载）中的PHP，JS，.htaccess文件等。大多数主机都具有诸如知名，隔离和cgi-bin的文件夹。如果不确定这些文件夹是否应该存在，请与您的主机联系以查看它们是否正常。

在文本编辑器中打开wp-config.php文件的新副本。这可以来自WordPress的备份或下载版本。复制数据库连接设置和表前缀，然后粘贴到新的wp-config文件中进行上传。

如果确认文件是干净的，则可以上传整个文件并进行授权密钥所需的更改。所有文件上传完毕后，该站点即可正常工作。

7.清理数据库

检查数据库中是否有受感染的文件。您可以手动执行此操作，也可以通过安装诸如WordFence的扫描程序来执行此操作。最好同时使用两者，以确保数据库清晰可见。一种方法可能捕获其他方法遗漏的东西。手动方法在cPanel中完成。

首先，进行备份。在“ 文件管理器”中，选择“ 导出”选项卡。选择导出方法和格式。默认设置应该很好。如果您的数据库有问题，可以导入文件并恢复原始设置。

转到“ 结构”选项卡。浏览结果以查看可以删除的内容。删除与已删除的插件有关的所有文件。选择文件，单击文件下方的“ 带有选定项”下拉框，然后选择“ 删除”。在要求时批准删除。确保保留所有正常的WordPress文件。

接下来，选择“ 搜索”选项卡并搜索在Sucuri网站检查或删除文件后WordPress可能显示的消息中看到的任何文件。

选择浏览以在新选项卡中打开结果。wp_options文件最有可能带有恶意软件，因为这是存储插件文件的位置。

浏览每个文件以查看应删除的内容。双击结果以查看详细信息。

如果删除错误的文件，则可能会丢失插件的设置。确保查找与已删除文件相关的瞬态。通常，删除瞬变是安全的，因为它们是临时文件，但请确保它们不属于WooCommerce或其他插件等预定过程的一部分。

检查网站

现在是时候再次检查该站点了。这是要检查的东西。

1.重新加载WordPress

重新加载网站并检查您的WordPress版本。

前端将显示您的新主题（如果您像我们在此处所做的那样对其进行了更改），则所有内容均应按预期显示。确保它不会重定向到警告页面。另外，以隐身模式加载网站，使其不使用缓存，然后尝试使用多个浏览器以确保网站能够按预期运行。

2.使用Sucuri网站检查测试网站

使用Sucuri网站检查来检查网站。它应显示未找到恶意软件。在您重新提交网站并对其进行评估之前，它仍将被列入黑名单。

为您的站点接种以防将来感染

这里还有一些其他步骤可确保您的网站不受恶意软件侵害。

更新PHP

在您的cPanel中，检查主机是否正在运行安全版本的php。该主机正在运行5.6.40。在撰写本文时，它是安全的，但需要将其升级到php 7.2。当前版本可能会破坏某些旧插件，但是无论如何您都需要更新到新插件。

删除或清除其他网站

进行备份并删除所有未使用的网站。这些站点可能感染了恶意软件，问题将再次出现。如果需要保留这些站点，请对服务器上的每个站点进行清理过程。

安装和配置安全性插件

确保您安装了高质量的安全性插件。iThemes Security是一个很好的选择。最好手动设置插件。从WordPress存放处安装它，然后单击“ 全部”以查看功能。以下是一些推荐设置。

iThemes安全性全局设置

• 允许iThemes Security写入wp-config和.htaccess文件。
• 将您自己的IP地址添加到锁定白名单中，以确保您不会意外被锁定在自己的站点之外。
• 选择“ 仅文件”作为日志类型。这样一来，它就可以写入服务器上的文件，而不必将其添加到数据库中，这可以使数据库保持更快的速度，并且运行更加流畅。
• 将保留文件日志的天数从180 天减少到30天或60天。
• 确定是否要允许匿名数据跟踪。
• 将代理保护设置为自动。
• 选择此选项可在管理栏中隐藏安全菜单。

通知中心

• 禁用电子邮件通知。
• 设置默认收件人。

可以禁用大多数通知，因为iThemes Security会为您提供安全保护。以下是我们要使用的其余设置：

• 404检测 -启用404检测。这使您可以禁止试图在一定分钟内找到不存在文件的用户。它可以防止黑客尝试继续尝试登录或在您的站点中查找漏洞。
• 管理员用户 –这使您可以更改默认的管理员用户名，这使尝试登录该站点的黑客和漫游器更加困难，因为这不是他们已经知道的默认用户名。
• 离开模式 –离开模式可让您在一天中的特定时间将用户锁定在站点之外。不建议这样做，因为在某些时候您可能需要登录，而您将无法登录。
• 禁止用户 –启用默认黑名单。
• 更改内容目录 –不建议这样做，因为它实际上无济于事。
• 更改数据库表前缀 –更改数据库表前缀会使黑客和僵尸程序更难获得对数据库的访问权限。
• 数据库备份 –如果在服务器级别运行数据库备份，或者在其他地方创建数据库备份，则可以禁用数据库备份。
• 文件更改检测 –包括文件列表，并检测这些文件是否已更改。它还允许您将文件添加到列表中。
• 文件权限 –显示文件的状态并建议值。您可以在cPanel或FTP中更改文件的值。
• 隐藏后端 –这使您可以更改登录位置，因此不太容易找到。它可能会导致插件出现问题，因此您需要对其进行测试。
• 本地暴力保护 –禁止任何尝试多次登录失败的人。它使某人无法尝试成千上万个密码，直到获得正确的密码为止。
• Network Brute Force Protection（网络暴力保护） –这也可以防止多次尝试登录失败，但是它将信息发送到iThemes，以创建一个数据库，在所有站点上阻止该用户的访问。
• 密码要求 –强制执行某些要求，以确保用户具有安全的密码。
• SSL –强制使用SSL，因此服务器与访问者的浏览器之间的通信是安全的。如果您安装了SSL证书并且主机不强制使用SSL，请启用此选项。
• 系统调整 –这些高级调整可保护系统文件，禁用目录浏览，禁用Uploads文件夹中的PHP等。测试每个，以确保它不会破坏您网站上的任何内容。
• WordPress调整 –这使您可以禁用不使用的WordPress功能。您可以删除Windows Live Writer标头，删除RDS标头，减少垃圾评论，禁用XML-RPC等。
• WordPress盐 –这会自动更改WordPress盐。这些是您的wp-config文件中的键。或者，您可以创建自己的WordPress盐以手动添加到wp-config文件。转到WordPress.org Salt Generator，然后将密钥复制并粘贴到您的文件中。

数据库用户名和密码

添加新用户，以便您拥有新的用户名和密码。在cPanel中转到您的MySQL数据库，然后找到您的数据库。

创建一个新用户并将该用户添加到数据库。

给他们所有特权。

在wp-config文件中，更改用户名和密码。

该数据库现在有两个用户。撤消旧用户名的特权。删除旧的用户名。

结束思想

这就是我们如何清理被黑客入侵或感染的WordPress网站。这可以解决您将在WordPress网站上看到的大多数黑客攻击。这并不困难，但确实需要一些时间来完成这些步骤。

这并不是一个详尽的教程，因此有可能在服务器内部比此处介绍的更深层次上受到感染。这会清理WordPress级别的所有内容。在服务器的软件堆栈中仍然可能存在恶意代码。尽管由于WordPress如此流行并且越来越多的主机正在使用不同的软件堆栈和安全措施来保护服务器，但如今这种情况并不常见。

您可能还考虑使用诸如WordFence之类的可扫描数据库的工具。如果这不能解决您的黑客问题，则需要与您的主机合作，以更进一步。他们应该能够为您扫描数据库和服务器。