# WordPress 網站被植入惡意代碼的 7 個信號（附排查方法）
*Published:* 2026-05-26
*Author:* 殼殼蟲
**安全通告** — 請相關站長及時檢查並更新受影響的插件或組件。
您訪問自己的 WordPress 網站，瀏覽器地址欄顯示的不是熟悉的首頁，而是一個滿屏日文的賭博頁面。您反覆輸入網址，結果一樣。這不是 DNS[15](#5725b6da) 劫持，您的網站被植入了惡意重定向代碼。
2025 年 Wordfence 的報告顯示，WordPress 生態中超過 55% 的安全事件與惡意代碼注入有關，其中重定向劫持和 SEO[18](#3e3758bd) 垃圾郵件是最常見的兩種類型。
這篇文章列出 7 個入侵信號。每個信號配一套診斷方法和永久修復步驟。您不需要逐條讀完，看到匹配的症狀，直接跳過去排查。
信號一：訪問網站被重定向到陌生頁面
-----------------
用户在瀏覽器輸入您的域名，頁面自動跳轉到賭博網站、虛假購物頁面或成人內容。您在後台登錄 WordPress 管理面板可能一切正常——這正是重定向劫持的特點：攻擊者只重定向訪客，不碰管理後台，延長被發現的時間。
### 攻擊代碼藏在哪裏
重定向代碼常被寫入三個位置：
**.htaccess 文件**
用 FTP[16](#23337245) 或文件管理器打開網站根目錄的 `.htaccess`，查找這類代碼：
```
RewriteEngine On
RewriteCond %{HTTP_USER_AGENT} !(Googlebot|bingbot)
RewriteRule ^(.*)$ http://惡意域名.com/$1 [R=301,L]
```
這段代碼的意思是：只要訪客不是搜索引擎爬蟲，一律 301 重定向到惡意域名。您自己登錄後台用的是 `/wp-admin`，攻擊者在條件裏排除了這個路徑，所以您發現不了。
**主題的 functions.php**
打開當前主題的 `functions.php`，搜索 `wp_redirect`：
```
if ( !is_user_logged_in() ) {
wp_redirect( 'http://惡意域名.com' );
exit;
}
```
未登錄用户訪問任何頁面都會跳轉。攻擊者通過盜取的管理員憑據或利用主題文件編輯功能寫入這段代碼。
**index.php 首行**
網站根目錄的 `index.php` 第一行可能被注入：
```
```
### 排查步驟
1. 通過 SSH[19](#f6e371b8) 進入網站根目錄，執行：
```
grep -r "base64_decode\|eval\|wp_redirect" /path/to/your/site --include="*.php"
```
這行命令搜索所有 PHP[17](#82292d8a) 文件中常見的惡意函數。看到輸出中提及的文件，逐一檢查。
1. 重置 `.htaccess`：WordPress 後台進入”設置 → 固定鏈接”，點擊”保存更改”。這會重新生成乾淨的 `.htaccess`。
2. 如果重定向仍然存在，用 Wordfence 的掃描功能做一次全站文件完整性檢查。它會對比官方 WordPress 核心文件哈希值，標記所有被修改的文件。
### 永久修復
不要只刪除惡意代碼。重定向劫持的攻擊源頭通常是漏洞插件或主題。完成清理後，升級所有插件到最新版本，刪除不再維護的插件——2025 年有超過 2,000 個 WordPress 插件因安全漏洞被永久移除，如果您在用其中任何一個，立即替換掉。
信號二：瀏覽器地址欄出現”不安全”警告
-------------------
您的網站已經部署了 SSL[20](#c362956f) 證書，地址欄應該顯示鎖形圖標。但用户反饋瀏覽器提示”連接不安全”或者”此頁面包含不安全內容”。您在 Chrome 中打開控制枱（F12），看到成排的 Mixed Content 警告。
### 成因：惡意代碼加載外部 HTTP 資源
攻擊者在您網站的 `header.php` 或數據庫的 `wp_options` 表中注入了 iframe：
```
```
這個 1×1 像素的透明 iframe 從外部 HTTP 域名加載內容。瀏覽器檢測到 HTTPS[4](#b78c1db6) 頁面中包含 HTTP 資源，觸發混合內容警告。用户看到的是”不安全”，攻擊者拿到的是訪客的 IP、User-Agent 和瀏覽行為數據。
### 更嚴重的情況：證書被替換
如果您看到的不是混合內容警告，而是證書錯誤（”此服務器的證書不受信任”），這説明攻擊者可能已經獲得了服務器 root 權限，替換了 SSL 證書文件。這比代碼注入嚴重得多——攻擊者可以解密、篡改您和訪客之間的所有通信。
### 排查步驟
1. 在 Chrome 中按 F12[23](#77ecd66f) → Security 標籤頁，查看具體被阻止的 HTTP 資源域名。記錄這個域名。
2. 在網站文件中搜索這個域名：
```
grep -r "惡意域名.com" /path/to/your/site
```
1. 檢查數據庫：
```
SELECT3 * FROM12 wp_options WHERE6 option_value LIKE14 '%惡意域名%';
SELECT * FROM wp_posts WHERE post_content LIKE '%iframe%惡意域名%';
```
### 永久修復
如果是混合內容問題，刪除惡意代碼後，安裝 Really Simple SSL 插件，它會在輸出層強制替換所有 HTTP 資源為 HTTPS。
如果是證書被替換，您需要重建服務器環境。不要嘗試在這個服務器上”修復”——攻擊者掌握 root 權限意味着您不知道他還在系統裏留了多少後門。備份數據庫和上傳文件，在新服務器上重新部署，更換所有密鑰（wp-config.php 中的 Salts、數據庫密碼、SSH 密鑰）。
信號三：首頁或文章頁面出現莫名彈窗廣告
-------------------
您收到客户截圖：打開您的網站，右下角彈出 VoIP 服務推廣窗口，點擊關閉後不再出現。您自己測試時沒看到任何異常。
### 為什麼您看不到
注入的 JavaScript 通常有三層判斷：
```
if (document.referrer === '' && !getCookie('popup_shown')) {
// 彈出廣告
setCookie('popup_shown', 1, 7); // 7天內不再顯示
}
```
- **首次訪問才觸發**：檢測 Cookie，彈過一次後不再彈。
- **來源必須是搜索引擎或直接訪問**：`document.referrer` 為空或來自 Google 才激活，您從後台跳轉過來時 referrer 是您自己的域名，不觸發。
- **登錄用户豁免**：檢測 `body.logged-in` class，管理員登錄後腳本直接跳過。
### 代碼藏身之處
比較常見的位置是主題的 `footer.php`，緊貼在 ` ` 前面：
```
```
或者通過 `wp_head` 鈎子注入到 `