FTP 凭据泄露导致网站再次感染：如何调查证据
FTP 凭据泄露导致网站再次感染需要根据证据处理，不能依赖一键删除。建立时间线，将异常现象与真正被入侵的证据区分开。最初可观察的迹象是：陌生文件传输会话上传了恶意文件。
WordPress 安全实务指南: 调查与取证流程
1. 事故背景
本指南处理“FTP 凭据泄露导致网站再次感染”这一 WordPress 情况，不会把所有警报直接当作感染证据。
2. 为什么值得重视
陌生文件传输会话上传了恶意文件
3. 首项核实
关联传输日志、IP 地址与文件时间，核实账号访问
4. 初步风险评估
确认谁可访问受影响组件、异常是否持续，以及改动会不会影响用户。
5. 保存证据
保留修改前配置、有关日志，必要时记录哈希值，并注明观察时间。
6. 区分恶意代码与合法定制
对照官方版本、批准的定制改动和正常自动任务。
7. 建立可信时间线
查找最早的可信时间，与获批部署、登录和定时任务进行对照。
8. 排除其他合理解释
插件升级、合法定制代码或历史备份可能触发警报，但未必表示线上已感染。
9. 按证据分类
核对文件真实身份与行为；单凭可疑文件名不足以判定恶意。
10. 需要确认的迹象
陌生文件传输会话上传了恶意文件
11. 第一项诊断操作
关联传输日志、IP 地址与文件时间，核实账号访问
12. 安全遏制或修复
停用受影响凭据，保护终端并清理确认注入的文件
13. 长期防护措施
尽量采用密钥式 SFTP 并停用闲置 FTP 账号
14. 操作安全
未了解依赖关系前不要贸然修改生产环境；尽可能先在测试站验证。
15. 恢复后验证
检查公开页面、管理员登录、表单、通知与现有销售流程。
16. 敏感数据
寻求帮助时不要公开日志令牌、客户资料或密码。
17. 扫描工具的作用
扫描器可以提供线索，但不能代替根因调查。
18. EasyTools 相关入口
查看 EasyTools Antivirus 页面当前公布的具体功能。 EasyTools Antivirus & Security.
10 个常见问题与答案
这个警告意味着什么？
对于“FTP 凭据泄露导致网站再次感染”，可观察的迹象是：陌生文件传输会话上传了恶意文件。迹象本身不等于已经确认感染。
首先要保留哪些证据？
在修改文件或数据库前，记录受影响路径或网址、时间、必要时的哈希值及备份状态。
怎样安全地调查？
关联传输日志、IP 地址与文件时间，核实账号访问。高风险测试应在隔离测试环境进行，不要运行未知代码。
有没有可能是误报？
有。判断前核对准确的已安装版本、经批准的定制改动及正常自动任务。
是否应该马上删除可疑文件？
不建议。先确认文件用途、依赖关系及可回滚方案。
怎样控制影响？
停用受影响凭据，保护终端并清理确认注入的文件。在减少暴露的同时保留关键证据。
需要修改密码吗？
若日志或账号变更显示凭据可能被滥用，应轮换相关凭据。
修复后怎样测试网站？
检查管理员登录、公开页面、表单，以及实际使用的支付、预约和其他重要集成。
怎样避免再次发生？
尽量采用密钥式 SFTP 并停用闲置 FTP 账号。安排负责人定期复核相关控制措施。
在哪里查看扫描器功能？
访问 EasyTools Antivirus & Security，并确认当前版本真正提供的扫描、报告及恢复功能。 EasyTools Antivirus & Security.
以上属于一般网站防御建议。若正在遭受攻击，请遵循主机服务商的事故处理流程，或咨询合格的安全人员。 EasyTools Online Tools.