WordPress官方FAQ里有一句话，第一次看会愣一下：「A hack is a very ambiguous term」。被黑是个含义模糊的词，光说被黑，谁也不知道到底发生了什么。所以WordPress网站被黑了怎么办，官方强调先记录症状再动手，官方管这叫IoC，可观察的入侵迹象。这个顺序跟人的直觉是反的，但它决定了你后面能不能查清入口在哪。
对做出海站的人来说，网站被黑不只是丢一次脸。谷歌把你的站列入黑名单，客户点进来看到红色警告页，订单就断了，前面攒的信任也一起没了。
- 这是什么：官方把被黑拆成一组可观察的症状，叫IoC，先记录症状再动手。
- 官方最重要的一条：WordPress本身和所有已装插件、主题保持最新版本。
- 官方给的处理顺序：冷静、记录、扫描网站、扫描本地环境、联系主机商、改访问控制、重置全部访问、建备份、找到并清除后门。
- 备份频率：小站每周一次，高频站每天一次，至少留3–5份，分处存放。
- 明确不要做：不从wordpress.org以外的站点下载或安装WordPress；重装不用WP-ADMIN里的重装选项。
新手先看一遍WordPress建站教程，把后台和文件结构认清楚，后面动手不容易乱。
本文目录
WordPress被黑有哪些可观察信号
官方列出的信号有这几类：站点被Google、Bing等搜索引擎列入黑名单；主机商直接把你的站点停用；站点被标记为分发恶意软件；读者反馈他电脑上的杀毒软件报警；你被通知站点被用来攻击其他站点；后台出现了未授权的新用户；浏览器打开就能看出被黑。这几条对上一条，就按被黑处理，不用等「确认」。官方同时说明，这些步骤不是穷尽的，不可能把所有场景都写进去，它的作用是帮你把处理流程想清楚。
另一个要接受的事实是，官方对安全的定义是降低风险，不是消除风险。风险降不到零，所以必须提前为恢复做计划。官方还说，网站被黑很少归因于基础设施，多数归因于应用本身，也就是站主自己负责的那部分环境。主机商管的是服务器和网络，不管你装了什么插件、用了什么主题。把这条想明白，出事时就不会一直等主机商给你兜底。
官方给的九步处理顺序，每一步做什么
官方的顺序不是随便排的，先稳住人、留下证据，再扫描、改权限、做备份，最后才动清除。一步一步照着走，比一上来就删文件靠谱。下面每一步我补上动作、理由和出问题时的回查点。
- 保持冷静。官方原话是退一步稳住自己，只有人稳住了，才能更有效地掌控局面、把站点恢复上线。这一步听起来虚，实际上是防止你在慌乱里做出删库、覆盖这类不可逆的操作。
- 记录。官方说这是被入侵后第一个可执行的步骤。记下你看到的现象、发现的时间与时区、最近做过的操作，比如是不是刚装了新插件、改了主题、动过小工具。这份记录就是事件报告（incident report）的基线，自己处理还是交给专业机构，都用得上。
- 扫描网站。官方给了两类工具：外部远程扫描器和装在站内的应用层扫描器。两者看的东西不同，没有哪个方案最好，合起来用能大幅提高命中率。具体分工放在下一节讲。
- 扫描本地环境。官方说很多攻击源头起于本地电脑，攻击者在本地跑木马，嗅探FTP和wp-admin的登录信息。对本地机器做一次完整的反病毒和恶意软件扫描，有些病毒擅长识别并躲开杀毒软件，可以换一款再试，Windows、OS X、Linux都适用。
- 联系主机商。尤其用共享主机时，被黑可能影响的不止你一个站。主机商还能帮你确认到底是真被黑，还是服务本身出了中断。顺手把站点注册到各类站长控制台：Google Search Console、Bing Webmaster、Yandex Webmaster、Norton Webmaster，被列入黑名单时你能第一时间收到通知。
- 改进访问控制。官方说改密码只是大问题里的一小块，起步要用复杂、长且唯一的密码，推荐用1Password、LastPass这类应用里的密码生成器。覆盖所有访问点，包括FTP/SFTP、WP-ADMIN、CPANEL或主机商的其他管理面板、MYSQL，还要覆盖所有能访问这个环境的用户。同时考虑两步验证，官方列了Rublon和Duo。
- 重置全部访问。发现被黑后最先要做的是锁死环境、减少后续改动，起点是强制所有用户尤其是管理员做一次全局密码重置，官方提到可以用iThemes Security插件协助。还要清掉可能仍处于登录状态的用户，做法是更新wp-config里的secret keys，用WordPress key generator生成新值覆盖旧值，这会把所有仍在线的人踢下线。
- 建备份。如果还没有备份，这时候就该建一个，同时问清主机商的备份政策。如果有备份，可以恢复后直接进入取证。官方建议在进入清理阶段前再给环境做一次快照，哪怕这份快照已经带毒，万一发生灾难性故障，至少还有一份坏副本可以参考。
- 找到并清除后门。官方说这是整个流程里最令人生畏的部分，具体怎么做取决于症状和你本人对网站和服务器的熟悉程度。「全部清空重来」很诱人，有些情况可行，但很多情况根本做不到，更现实的做法是重装站点的某些部分，而不动网站核心。
清理或恢复文件之后，站点有时会直接打不开或报500。这时候别急着继续改，先回查WordPress 500错误，把错误类型确认清楚，再决定下一步。
扫描结果怎么看：远程扫描和应用层扫描各查什么
远程扫描器从外部像普通访客一样访问你的站点，能抓到那些刻意躲着爬虫和搜索引擎的威胁。官方列的远程扫描器是VirusTotal和Sitecheck。应用层扫描器装在站内，查的是已知恶意软件、病毒、黑名单状态、网站错误、过期软件和恶意代码。官方列的应用层扫描插件是Quttera、GOTMLS、WordFence、Sucuri。
Wordfence的扫描器会检查核心文件、主题和插件里的恶意软件、坏URL、后门、SEO垃圾、恶意跳转和代码注入。Sucuri的做法是把已知良好状态和当前状态做比对，具体机制放在后面文件完整性那一节讲。
实际动作是：先跑远程扫描，再跑应用层扫描，两边的结果都留档，放进第二步建的事件报告里。远程扫描报黑名单，说明外部已经能看到问题；应用层扫描报文件改动，说明站内还有东西没清干净。两个结果要合起来看，官方说没有哪个方案最好，合起来用能大幅提高命中率。
备份和恢复：先备份数据库还是先备份文件
官方给的顺序是：备份时先备份数据库，再备份文件；恢复时先恢复文件，再恢复或导入数据库。这个顺序跟很多人的直觉相反，记住一次就行。备份时要特别注意wp-config.php和wp-content目录及其内容，wp-config.php里含数据库连接信息，wp-content里是插件、主题和上传文件。
核心文件通常不必复制，因为可以从WordPress官方zip包重新下载替换。最简单的备份方法是用FTP程序把WordPress文件从主机下载到本地电脑。数据库用phpMyAdmin导出时，选Custom方式，选全部表，勾选Save output to a file，Compression选None，Format选SQL，勾上Add DROP TABLE和IF NOT EXISTS，再点Go。少勾一项，导出来的文件可能在恢复时出问题。
有个误区要提前说清：备份文件通常不包含数据库。WordPress文件在网站目录里，数据库存在WordPress目录之外的独立数据库系统里，通常是MySQL或MariaDB。只下载了网站文件，等于只备份了一半。恢复期间如果换了主题遇到兼容问题，回查主题不兼容；如果HTTPS打不开页面，回查HTTPS打不开页面。这两个问题都容易在恢复后冒出来，提前知道去哪查，能少折腾半天。
怎么找到被改的文件并清掉恶意代码
合规的做法是用插件的文件完整性监控，不是自己一行行翻代码删。Sucuri插件的机制是：安装插件那一刻，就为根目录下所有目录建立一份已知良好的基线，插件、主题、核心文件都包含在内。之后它把这份已知良好和当前状态做比对，不一致就说明有问题。这也是很多主机入侵检测系统的基础。
Wordfence走的是另一条路：把核心文件、主题和插件与WordPress.org仓库比对，检查完整性并报告任何改动。它可以用原始干净版本覆盖被改动的核心、主题、插件文件，也可以在界面里删除不属于这里的文件。官方提醒，用删除功能之前要先查看扫描结果并备份文件，删错了没有后悔药。Wordfence安装后进Scan菜单开始第一次扫描，扫描完成后会列出威胁清单，逐条处理。
需要重装时，规则只有两条：不要用WP-ADMIN里的重装选项，要用FTP或SFTP把文件拖放上去；必须装网站当前使用的同一版本，选更旧或更新的版本很可能把站搞死。服务器层面如果也要查杀，可以走宝塔面板安装这条路，在面板里做文件检查和权限调整。
重置访问权限：密码、secret keys 和两步验证怎么落地
先把所有访问点的密码改掉，用复杂、长且唯一的密码，别在几个站之间复用。1Password、LastPass这类工具自带生成器，生成完直接存进去。覆盖范围要包括FTP/SFTP、WP-ADMIN、CPANEL或主机商面板、MYSQL，以及所有能访问这个环境的用户。官方明确说，拿到管理员账号的黑客可以安装恶意脚本，可能危及整台服务器。所以这一步不是改一个后台密码就完了。
两步验证建议一起开。官方推荐Rublon和Duo，插件目录里的Two Factor有100,000+活跃安装，也是一个可选入口。开启后登录WordPress时要求第二种验证方式，密码泄露了还有一道门。
secret keys要单独做一次。用WordPress key generator生成新值，覆盖wp-config.php里的旧值，这会强制所有仍在线的人退出。Sucuri插件的Post-Hack部分也把「更新secret keys、重置用户密码、重置已安装插件、更新插件和主题」列为四步，顺序可以照着走。
加固清单：防二次被黑的官方做法逐条落地
被黑过一次的站，第二次被盯上的概率不低，因为入口可能还在。下面这些是官方加固指南里逐条写明的做法，按顺序落地，不用一次全做完，但别跳过跟访问权限有关的那几条。
- WordPress本身和所有已安装的插件、主题保持最新。官方说这是WordPress安全最重要的一件事，自3.7版本起WordPress带自动更新功能，可以用它来简化这个过程。
- 插件和主题只从WordPress.org仓库或知名公司获取。官方明确说，从外部拿插件和主题可能带来问题。
- WordPress只从https://wordpress.org下载。官方原话是官方发行版不在其他站点提供，绝不要从其他任何网站下载或安装WordPress。
- 旧版本不要留着。官方说旧版本不再获得安全更新维护，一旦某个漏洞被公开、修复版本发布，利用该漏洞所需的信息几乎肯定已经公开，旧版本更容易被攻击。
- 启用两步验证。官方把它列为强密码之外的额外安全措施。
- 连服务器用SFTP。主机商提供SFTP加密就应该用，不要退回明文FTP。
- 文件权限尽可能收紧。需要写权限时临时放宽，或者为上传这类用途单独建一个限制更少的文件夹。
- display_errors在生产环境绝不应开启。部分主机商默认开启，这可能是配置错误，关不掉就开工单让主机商处理。
- 禁用插件和主题编辑器。编辑器不做备份副本，改出错误导致站点崩溃时，没法用这个编辑器修回来。
- 移除WordPress版本号，禁止uploads、wp-content、wp-includes目录下执行PHP，核验默认管理员账号。这几条Sucuri插件的加固建议里都有。
还有两条限制要提前看清。共享服务器上如果同服务器另一个网站被入侵，即使你完全照指南做，你的网站也可能被波及，可以向主机商询问他们采取的安全措施。本地电脑如果有键盘记录器，WordPress和服务器上做多少安全措施都毫无差别，所以第四步的本地扫描不能省。
用AI辅助排查被黑：哪几步能交给它，哪几步必须自己做
AI在这个流程里能省的是整理和对照的时间，不能替你做决定。它能帮的活有这么几步：把官方IoC清单做成勾选表，让你逐条对照，输出一份事件报告草稿，字段按官方要求来，看到什么、发现时间与时区、最近装过或改过什么；把Sucuri或Wordfence的扫描结果、文件完整性比对报告贴给它，按核心文件、主题、插件、uploads四类整理可疑项，标出哪些属于后门、SEO垃圾、恶意跳转、代码注入；把官方加固清单转成逐项待办表，列清项目、当前状态、操作入口和完成标准；把备份规则写成一张检查表，逐项打勾。
猎者出海的AI Agent在整理资料、对照官方文档这类动作上能接一手，排查本身还是人来定。
下面三条提示词是本文给的示例，不是官方模板，可以照抄，把方括号里的内容换成你自己的。
「下面是我WordPress站被黑后的现象清单：[粘贴]。请按WordPress官方FAQ的incident report字段整理成一份记录：看到什么、发现时间与时区、最近装过或改过什么。不要给清除步骤，只做记录。」
「这是Sucuri文件完整性比对结果：[粘贴]。请按核心文件、主题、插件、uploads四类分组，标出每一类里被新增、修改、删除的文件，并注明哪些属于后门、SEO垃圾、恶意跳转、代码注入这四类官方描述。」
「请把WordPress官方加固清单转成一张待办表，列：项目、当前状态、操作入口（后台菜单或主机面板）、完成标准。清单包括：更新核心与插件主题、两步验证、SFTP、文件权限、关闭display_errors、禁用插件和主题编辑器、移除版本号、禁止uploads等目录执行PHP。」
有三件事必须你亲手做。先说最要紧的：在WordPress后台「用户」里对所有账号尤其是管理员执行一次全局密码重置，并在wp-config.php里用WordPress key generator生成的新值覆盖secret keys。还有个事，在主机面板或php.ini、.user.ini里确认display_errors已经关闭，关不掉就开工单问主机商。最后，打开Sucuri或Wordfence的扫描结果页，逐条看威胁清单，决定每条是覆盖修复、删除还是保留，删除前先备份对应文件。这三个动作AI替不了，因为要动的是你后台和服务器上的真实权限。
常见问题
备份文件是不是也把数据库备份了
通常不是。WordPress文件在你的网站目录里，数据库存在目录之外的独立数据库系统里，一般是MySQL或MariaDB。只备份文件等于只备份了一半。
多久备份一次合适
官方说这取决于你多久发文、多久想备份、数据库连同几篇文章一起丢你会是什么感受，由你自己定。没有统一标准，按你的更新频率来。
备份能自动化吗
可以，有多种自动化方法。但官方强烈建议偶尔手动备份一次，验证自动化确实在工作。自动备份坏了没人发现，等出事就晚了。
什么是文件完整性监控
把已知良好状态和当前状态做比对，不一致就说明有问题。Sucuri在安装那一刻为根目录下所有目录建立基线，之后靠这个机制发现改动，很多主机的入侵检测系统也是同样的思路。
重装WordPress能用后台的重装选项吗
不要用。官方明确要求用FTP或SFTP拖放，而且必须装网站当前使用的同一版本。选更旧或更新的版本很可能把网站搞死。
主机商会帮我处理应用层被黑吗
通常不会。主机商负责网站所在的基础设施，不负责你选择安装的应用。插件、主题、后台配置出问题，得你自己处理，或者找足够了解计算机安全和WordPress的人一起看。
相关文章：WordPress速度优化、免费SSL证书申请。
网站被黑这件事，怕的不是清理麻烦，是清理完没找到入口，过两周又来一次。按官方顺序走完，把该记的记下，该改的改掉，再对照加固清单逐条补上，这件事才算真正处理完。
发表评论