# WordPress 网站被植入恶意代码的 7 个信号（附排查方法）
*Published:* 2026-05-26
*Author:* 壳壳虫
**安全通告** — 请相关站长及时检查并更新受影响的插件或组件。
您访问自己的 WordPress 网站，浏览器地址栏显示的不是熟悉的首页，而是一个满屏日文的赌博页面。您反复输入网址，结果一样。这不是 DNS[15](#5725b6da) 劫持，您的网站被植入了恶意重定向代码。
2025 年 Wordfence 的报告显示，WordPress 生态中超过 55% 的安全事件与恶意代码注入有关，其中重定向劫持和 SEO[18](#3e3758bd) 垃圾邮件是最常见的两种类型。
这篇文章列出 7 个入侵信号。每个信号配一套诊断方法和永久修复步骤。您不需要逐条读完，看到匹配的症状，直接跳过去排查。
信号一：访问网站被重定向到陌生页面
-----------------
用户在浏览器输入您的域名，页面自动跳转到赌博网站、虚假购物页面或成人内容。您在后台登录 WordPress 管理面板可能一切正常——这正是重定向劫持的特点：攻击者只重定向访客，不碰管理后台，延长被发现的时间。
### 攻击代码藏在哪里
重定向代码常被写入三个位置：
**.htaccess 文件**
用 FTP[16](#23337245) 或文件管理器打开网站根目录的 `.htaccess`，查找这类代码：
```
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} !(Googlebot|bingbot)
RewriteRule ^(.*)$ http://恶意域名.com/$1 [R=301,L]
```
这段代码的意思是：只要访客不是搜索引擎爬虫，一律 301 重定向到恶意域名。您自己登录后台用的是 `/wp-admin`，攻击者在条件里排除了这个路径，所以您发现不了。
**主题的 functions.php**
打开当前主题的 `functions.php`，搜索 `wp_redirect`：
```
if ( !is_user_logged_in() ) {
wp_redirect( 'http://恶意域名.com' );
exit;
}
```
未登录用户访问任何页面都会跳转。攻击者通过盗取的管理员凭据或利用主题文件编辑功能写入这段代码。
**index.php 首行**
网站根目录的 `index.php` 第一行可能被注入：
```
```
### 排查步骤
1. 通过 SSH[19](#f6e371b8) 进入网站根目录，执行：
```
grep -r "base64_decode\|eval\|wp_redirect" /path/to/your/site --include="*.php"
```
这行命令搜索所有 PHP[17](#82292d8a) 文件中常见的恶意函数。看到输出中提及的文件，逐一检查。
1. 重置 `.htaccess`：WordPress 后台进入”设置 → 固定链接”，点击”保存更改”。这会重新生成干净的 `.htaccess`。
2. 如果重定向仍然存在，用 Wordfence 的扫描功能做一次全站文件完整性检查。它会对比官方 WordPress 核心文件哈希值，标记所有被修改的文件。
### 永久修复
不要只删除恶意代码。重定向劫持的攻击源头通常是漏洞插件或主题。完成清理后，升级所有插件到最新版本，删除不再维护的插件——2025 年有超过 2,000 个 WordPress 插件因安全漏洞被永久移除，如果您在用其中任何一个，立即替换掉。
信号二：浏览器地址栏出现”不安全”警告
-------------------
您的网站已经部署了 SSL[20](#c362956f) 证书，地址栏应该显示锁形图标。但用户反馈浏览器提示”连接不安全”或者”此页面包含不安全内容”。您在 Chrome 中打开控制台（F12），看到成排的 Mixed Content 警告。
### 成因：恶意代码加载外部 HTTP 资源
攻击者在您网站的 `header.php` 或数据库的 `wp_options` 表中注入了 iframe：
```
```
这个 1×1 像素的透明 iframe 从外部 HTTP 域名加载内容。浏览器检测到 HTTPS[4](#b78c1db6) 页面中包含 HTTP 资源，触发混合内容警告。用户看到的是”不安全”，攻击者拿到的是访客的 IP、User-Agent 和浏览行为数据。
### 更严重的情况：证书被替换
如果您看到的不是混合内容警告，而是证书错误（”此服务器的证书不受信任”），这说明攻击者可能已经获得了服务器 root 权限，替换了 SSL 证书文件。这比代码注入严重得多——攻击者可以解密、篡改您和访客之间的所有通信。
### 排查步骤
1. 在 Chrome 中按 F12[23](#77ecd66f) → Security 标签页，查看具体被阻止的 HTTP 资源域名。记录这个域名。
2. 在网站文件中搜索这个域名：
```
grep -r "恶意域名.com" /path/to/your/site
```
1. 检查数据库：
```
SELECT3 * FROM12 wp_options WHERE6 option_value LIKE14 '%恶意域名%';
SELECT * FROM wp_posts WHERE post_content LIKE '%iframe%恶意域名%';
```
### 永久修复
如果是混合内容问题，删除恶意代码后，安装 Really Simple SSL 插件，它会在输出层强制替换所有 HTTP 资源为 HTTPS。
如果是证书被替换，您需要重建服务器环境。不要尝试在这个服务器上”修复”——攻击者掌握 root 权限意味着您不知道他还在系统里留了多少后门。备份数据库和上传文件，在新服务器上重新部署，更换所有密钥（wp-config.php 中的 Salts、数据库密码、SSH 密钥）。
信号三：首页或文章页面出现莫名弹窗广告
-------------------
您收到客户截图：打开您的网站，右下角弹出 VoIP 服务推广窗口，点击关闭后不再出现。您自己测试时没看到任何异常。
### 为什么您看不到
注入的 JavaScript 通常有三层判断：
```
if (document.referrer === '' && !getCookie('popup_shown')) {
// 弹出广告
setCookie('popup_shown', 1, 7); // 7天内不再显示
}
```
- **首次访问才触发**：检测 Cookie，弹过一次后不再弹。
- **来源必须是搜索引擎或直接访问**：`document.referrer` 为空或来自 Google 才激活，您从后台跳转过来时 referrer 是您自己的域名，不触发。
- **登录用户豁免**：检测 `body.logged-in` class，管理员登录后脚本直接跳过。
### 代码藏身之处
比较常见的位置是主题的 `footer.php`，紧贴在 ` ` 前面：
```
```
或者通过 `wp_head` 钩子注入到 `