WordPress木马查杀保姆级教程，看完就能清干净不留隐患

你是不是用WordPress搭了个小站？要么是个人博客接广告，要么是卖点小手工、本地服务，本来赚点零花钱挺美，结果某天突然打开跳黄赌网站，百度搜你站标了“风险提示”，后台登进去发现多了一堆乱七八糟的插件，找当初帮你建站的人，清个木马张口就要大几百，自己搞又怕删错文件直接把站搞没？上个月就有个做手工簪子的粉丝找我，说她的小店站中了木马，客户点进来全跳赌博网，一周没开张，按我给的方法折腾了俩小时，一分钱没花就全清干净了，今天就把这个方法全告诉你，看完你自己就能操作。

1 查杀前先做2件事，避免越搞越乱

1.1 先把全站备份下来

别直接在原站删文件，怕你手滑删错了直接站崩了。操作很简单，要么用虚拟主机后台的一键备份功能，要么装个Updraft备份插件，把整站打包下到自己电脑里就行。哪怕后面操作错了，直接恢复备份就好，不会有任何损失。

避坑提醒：别只备份文章内容，一定要选整站备份，包括文件和数据库。

1.2 先封后台登录入口，切断木马的更新通道

很多木马是有后门的，你这边刚删，黑客那边就远程再传一份，白忙活。你先找到站点根目录的.htaccess文件，加一段代码，只允许你自己的IP登后台：

``` Order Deny,Allow Deny from all Allow from 你自己的公网IP ```

不知道自己的IP？直接百度搜“我的IP”，复制粘贴进去就行。这样别人包括黑客都登不了你后台，木马没法接收新指令，也不能自动更新。

2 3步手动查杀，99%的木马都能清干净

2.1 先扫核心文件有没有被篡改

WordPress的核心文件都是官方统一的，只要被改过大概率是中了马。你去WordPress官网，下一个和你当前站点版本一模一样的安装包，解压到电脑上。然后装个免费的对比工具WinMerge，把你站点的wp-admin、wp-includes两个文件夹，和原版的同名文件夹做对比。

凡是和原版内容不一样的文件，直接删掉替换成原版的。避坑提醒：别碰wp-content文件夹，这里面是你自己的主题、插件、图片，替换了就全没了。

2.2 再扫wp-content里的可疑文件

这个文件夹是木马藏得最多的地方，你重点查三个位置就够：

• 主题文件夹里的php文件，凡是文件名是乱码的，比如a1b2c3.php，或者你没印象自己加过的，直接删
• uploads文件夹，这里本来是放图片视频的，只要出现php文件，100%是木马，全删
• 插件文件夹，凡是你没主动安装过的插件，直接把整个文件夹删掉

还有个小技巧：你把wp-content里所有php文件按修改时间排序，要是最近一周被修改过，你又没动过站，那大概率是被改了。点开看开头有一大段乱码加密内容的，直接删就行，正常代码不会写得鬼鬼祟祟的。

2.3 最后清数据库里的后门

很多人清完文件没两天又中马，就是漏了数据库里的后门。你打开虚拟主机后台的phpMyAdmin，进你的站点数据库，先查wp_users表，看有没有你不知道的管理员账号，有就直接删掉。

然后用搜索功能，找eval、base64_decode这种关键词，只要不是出现在你自己发的文章内容里，对应的内容直接删掉就行。举个例子，之前有个用户的站，清完文件还是跳赌博网，最后就是在数据库的wp_options表里，找到了一段跳转代码，删了立马就好。

3 杀完做2件事，避免再中木马

3.1 把所有能更新的全更了

WP核心、主题、插件全更到最新版本，90%的木马都是靠旧版本的漏洞钻进来的，更一下也就几分钟的事，别嫌麻烦。还有别头铁用破解的主题插件，10个破解9个带后门，贪那几十块的便宜，回头站被搞废了哭都来不及。

3.2 装个免费的安全插件就行

不用花大几百买什么安全服务，就装个Wordfence免费版，开实时扫描功能就行。有人暴力破解你后台密码，它直接封对方IP，还能每周自动扫一次木马，普通小站用完全够了。别装好几个安全插件，反而会拖慢站点速度，得不偿失。

就这点步骤，没什么难的，你要是第一次操作，慢一点也就俩小时，比花几百块找人香多了。现在就去打开你后台先备份，再按顺序扫一遍，早扫早安心，真遇到拿不准的文件，你先留着别删，评论区发文件名我帮你看就行。