WordPress网站中毒别慌，老司机教你暴力查杀

这事儿吧，谁遇上谁糟心

早上起来一查站，好家伙，首页全变成博彩或者游戏页面了，或者直接被浏览器拦截提示“包含恶意软件”。那种感觉，真的就像是你出门倒个垃圾的功夫，回家发现家里被洗劫一空，小偷还在你客厅桌子上留了一张嘲笑你的纸条。WordPress 虽然好用，但生态太杂，插件主题良莠不齐，一旦中招，那种无力感简直让人想砸键盘。

很多人第一反应是慌，到处求救，或者干脆想重装。别急，重装那是最后一步，而且如果你没把毒源清干净，重装一百次也没用。今天咱们就像老朋友一样，坐下来聊聊怎么把这帮藏在代码里的“蟑螂”给彻底扫出去。

第一步：紧急止损，先把“门”焊死

发现中毒，别再去刷新你的网站了，每刷新一次，可能都在给黑客送流量或者继续传播病毒。咱们得先像个外科医生一样，先把病人止血。

你要做的第一件事，就是全站封锁。如果你服务器有面板，直接把站点设为维护模式，或者通过 FTP 把 `index.php` 暂时改名。这就像发现家里着火了，先别管烧了什么，先把总闸拉了，防止火势蔓延到邻居家（被搜索引擎拉黑）。

第二步：核心文件“换血”，别心疼

WordPress 的核心程序（也就是那些 `wp-.php` 文件和 `wp-admin`、`wp-includes` 目录）是最容易被挂马的地方，但也是最容易被替换的。说实话，别试图去一行行检查核心文件，那效率太低，而且你也看不出个所以然。

直接去官网下载一个最新版的 WordPress 压缩包，解压。除了 `wp-content` 目录（这里面是你的主题和插件，那是你的心血，不能动）和 `wp-config.php`（数据库配置文件，删了就连不上库了），其他所有文件全部覆盖上传。

这招叫“换血疗法”。哪怕核心文件里藏着再隐蔽的后门代码，只要你用官方纯净版覆盖过去，瞬间就没了。这就像你怀疑心脏有问题，直接换个新的，比吃药管用多了。

第三步：揪出内鬼，插件和主题才是重灾区

说句扎心的话，绝大多数 WordPress 中毒，都是因为贪便宜。网上下的破解版付费主题、不知名的小插件，看着爽，其实里面早就给你留了“后门”。黑客就像在你家里藏了一把备用钥匙，随时能进来溜达。

这时候你得狠下心来。把插件全部停用，然后一个一个开启排查。如果不敢确定，直接把插件目录删了，去官网重新下。至于主题，如果你用的是盗版主题，那我只能说：活该。赶紧换正版或者免费的官方主题吧。

重点检查 `functions.php` 这个文件，它是主题的心脏，也是最喜欢藏毒的地方。如果你看到一堆乱码似的 Base64 代码，或者奇怪的 `