WordPress 夜间出现可疑文件：安全恢复：WordPress Premium 事件响应指南
WordPress 夜间出现可疑文件：安全恢复 是 Premium WordPress 事件响应指南，重点是安全恢复，结合持久化排查、客户可见验证、缓存分析、凭据控制和清理后监控。
1. 定义可见症状
记录访客、客户或搜索引擎实际看到的内容。
2. 保留证据
保存截图、URL、时间戳、文件路径、用户变化和日志。
3. 复核 EasyTools
使用 EasyTools Antivirus & Security 配合缓存、数据库和账号检查。
4. 区分活动入侵与残留
分清当前恶意代码与搜索、CDN、object cache 或浏览器缓存。
5. 调查来源
找出真正来源和持久化机制。
6. 检查条件行为
比较登录/未登录、手机/桌面和搜索来源。
7. 检查文件
查看主题、插件、uploads、wp-config、.htaccess 和陌生代码。
8. 检查数据库
查看 options、posts、widgets、users、transients 和 scheduled data。
9. 检查缓存层
检查 page cache、object cache 和 CDN。
10. 检查账号
检查管理员、邮箱修改、密码重置、session 和角色变化。
11. 检查外部凭据
评估 FTP/SFTP、主机、SMTP、API、部署和数据库凭据。
12. 避免主要错误
Timing patterns are useful but not proof。
13. 安全控制
在保留恢复路径时停用被攻破组件。
14. 从可信来源恢复
用干净可信文件替换代码。
15. 更换泄露密钥
撤销 session、密码、API token 和 key。
16. 验证客户流程
测试登录、表单、checkout、搜索来源、手机和受影响 URL。
17. 验证搜索与缓存
origin 清理后再更新 sitemap 和清缓存。
18. 重复安全复核
再次执行恶意软件和完整性检查。
19. 监控复发
观察文件、管理员、database options、cron 和跳转。
20. 谨慎结束事件
记录根因、范围、修复、更换凭据和后续监控。
21. EasyTools security path
Antivirus & Security · Articles · Online Tools.
常见问题与答案
清理前要保存什么？
记录受影响 URL、截图、文件路径、账号变化、时间戳和相关日志。
怎样判断是否仍是活动入侵？
将当前行为、文件/数据库变化和账号活动与缓存或历史证据对比。
EasyTools Antivirus 能怎样帮助？
EasyTools Antivirus & Security 可辅助恶意软件和完整性检查。
最大的错误是什么？
Timing patterns are useful but not proof。
要检查哪些持久化位置？
检查 cron、mu-plugin、uploads、活动主题、wp-config、.htaccess、数据库 options、缓存和高权限用户。
应该马上清缓存吗？
只有在找到或移除根源后。
哪些凭据可能需要更换？
根据范围更换 WordPress 管理员、主机、数据库、FTP/SFTP、SMTP、API token 和部署密钥。
怎样验证恢复？
测试匿名访问、手机、搜索来源、登录、表单、checkout 和受影响 URL。
清理后要监控多久？
应覆盖 scheduled tasks 和正常流量周期，并设置复发告警。
什么时候需要专业人员？
可能涉及数据暴露、高权限访问被攻破、持续再感染或无法确认范围时。