前阵子接了一个做地方资讯门户的客户，网站在河南新乡市辉县市孟庄镇做了三四年了，主要发一些本地新闻、便民信息，平时流量不大不小，但胜在稳定。

那天客户在辉县市家里的电脑上打开网站，发现页面底部多了一行乱码，一开始以为是浏览器问题，换了几个浏览器都有。再用手机打开，底部同样有一串看不懂的字符。

登录后台看了一眼，首页编辑器里是干净的，没有那串代码。说明不是后台编辑加进去的，大概率是服务器被黑了。

排查过程

第一件事是查看网页源代码，右键页面查看源码，拉到最底部，果然发现了一段加密的JavaScript。那串乱码实际上是经过编码的，解码之后是一个外部链接，指向某个陌生的域名，用iframe方式嵌入了一个广告页面。

再看服务器上的文件，打开/wp-content/themes/当前主题/footer.php，发现底部被插入了一段代码。查了文件的修改时间，是三天前凌晨两点多，明显不是人工改的，应该是被自动化工具批量注入了。

怎么被黑的

客户这个WordPress网站用了五六个插件，其中两个插件已经一年多没更新了，而且版本还比较老。查了一下漏洞库，其中一个插件在特定版本下存在文件上传漏洞，黑客可以利用这个漏洞在服务器上执行恶意代码，批量修改主题文件。

所以问题出在没有及时更新插件上。

另外检查了一下服务器本身，ssh端口是默认的22，而且允许root密码登录。虽然密码不是弱密码，但暴露在公网上，被暴力破解的概率还是有的。好在这次的入侵迹象主要是网站文件被改，系统层面没发现异常。

清理过程

第一步，把主题里的恶意代码删掉。把footer.php恢复成正常的版本。如果有备份的话，直接覆盖是最快的。客户没有保留旧版本备份，好在被改的只有这一个文件，对照着网上官方主题的原版文件，把被篡改的部分手动清掉了。

第二步，把所有插件和WordPress核心升级到最新版。客户用的是WordPress 5.8，现在已经出到6.x了。先备份了数据库和网站文件，然后点升级。升级完重新检查了一遍，页面恢复正常。

第三步，改服务器安全配置。把ssh端口从22改成了其他端口，关闭了root远程登录，新建了一个普通用户用来日常管理。安装了fail2ban，自动封禁暴力破解的IP。这些操作在宝塔面板里就可以做，不用敲很多命令。

第四步，装了一个WordPress安全插件，扫描了所有主题和插件的文件完整性，确认没有被改动的其他文件。扫描结果出来，除了footer.php之外还有一个缓存文件也被动过，一并清理了。

有没有漏掉什么

清理完之后，修改了WordPress后台所有管理员的密码，把不用的账号全部删掉。同时把wp-config.php里加了两行配置，禁止通过admin这个用户名登录：

define('DISALLOW_FILE_EDIT', true);

这个配置关闭了WordPress后台的主题文件编辑器，就算黑客拿到了管理员权限，也无法直接在后台改代码。

还检查了一下网站的访问日志，找到了那个凌晨修改文件的IP地址，在宝塔面板的防火墙里把这个IP永久封掉了。虽然人家可能用的是代理IP，封一个算一个。

跟客户复盘

跟客户聊了一下这次被黑的可能原因。他是个体运营的资讯网站，平时自己忙别的事情，网站有半年多没打理了，插件也不更新、后台也不登录。黑客就是盯着这种疏于管理的网站下手。

客户问以后怎么避免。我说主要就几点：一是定期登录后台看有没有更新提示，插件和WordPress核心的更新尽量及时点；二是密码不要用太简单的，隔段时间换一下；三是找一个靠谱的服务器运维兜底，有人定期巡检，出了问题能第一时间处理。

他在孟庄镇上开了个小门面，平时自己店里忙的时候顾不上网站，但网站又是他获客的一个主要渠道。这种状态挺普遍——网站是重要的，但优先级排不到最前面。所以我们给他做的方案是保持日常自动监控，有问题再介入，不增加他的额外工作量。

一点小总结

WordPress主题被挂马不算少见，特别是插件用得多的、长期不更新的网站。遇到这种情况不用慌，先备份、后排查、再清理、最后加固。上面说的这几步走下来，大部分挂马问题都能搞定。

我们平时处理这类问题，一般还会顺便做一次服务器全面检查，把其他可能存在的隐患一并扫掉。有需要远程协助的话随时联系。