WordPress uploads 出现 PHP 后门：安全恢复：WordPress 安全恢复指南

WordPress uploads 出现 PHP 后门：安全恢复 是 WordPress 安全恢复实用指南，重点是安全恢复。目标是在保留重要证据的同时调查问题、安全恢复并降低再次感染风险。

1. 确认症状

记录跳转、登录异常、陌生管理员、文件修改、完整性警告和再次感染时间。

2. 建立恢复点

删除文件、移除用户或修改数据库前先建立备份或快照。

3. 检查 EasyTools 结果

打开 EasyTools Antivirus & Security，先验证扫描结果，再决定是否隔离或删除。

4. 对比可信来源

将核心、插件和主题与正确的可信版本对比，并先确认实际安装清单。

5. 检查管理员访问

检查高权限用户、邮箱、新建账号和活动会话。

6. 检查持久化

检查 cron、mu-plugin、uploads、配置文件和可疑数据库内容。

7. 更换凭据

怀疑泄露时更换 WordPress、主机、数据库和 FTP/SFTP 凭据。

8. 谨慎恢复

只使用干净且兼容的备份或可信文件。

9. 修补入口

更新或移除有漏洞、弃用的插件和主题，并关闭不用账号。

10. 测试网站行为

检查首页、登录、后台、表单和手机页面是否仍有跳转或注入。

11. 检查数据库

查看 options、posts、widgets、users 和 scheduled tasks。

12. 清理后监控

观察文件变化、新管理员、跳转和重复警报。

13. 记录恢复日志

记录发现、处理动作和仍需监控的项目。

14. 避免盲目删除

文件名看起来可疑并不代表一定是恶意文件。

15. 验证恢复

再次扫描并手动确认异常行为已经消失。

16. 恢复检查表

备份；验证发现；检查管理员；检查持久化；更换凭据；恢复干净文件；修补入口；测试网站；开启监控。

17. EasyTools 的作用

EasyTools 可辅助扫描复核、完整性检查、隔离判断和清理后验证。

18. 相关资源

Antivirus & Security · Online Tools · Articles。

常见问题与答案

第一步应该做什么？

保留证据，并在破坏性修改前建立备份或快照。

可以立即删除所有可疑文件吗？

不建议。先核对路径、来源、时间戳和可信版本。

EasyTools Antivirus 可以怎样帮助？

EasyTools Antivirus & Security 可用于检查扫描结果和完整性警告。

应该马上恢复备份吗？

只有在确认备份干净，并且原来的漏洞不会再次导致感染后才恢复。

哪些凭据需要更换？

WordPress 管理员、主机控制面板、数据库、FTP/SFTP 等相关凭据。

怎样检查持久化机制？

检查 cron、mu-plugin、陌生 PHP、配置文件和可疑数据库内容。

一次干净扫描可以保证安全吗？

不能。还要检查账号、完整性、网站行为和清理后的持续监控。

怎样降低再次感染风险？

修补漏洞、移除持久化机制、关闭不用的访问并监控变化。

需要保留恢复日志吗？

需要。记录发现、处理动作、更换的凭据和后续监控。

什么时候应该找专业人员？

当网站持续再感染、可能涉及客户数据，或无法确认根因时。