WordPress 网站被黑的迹象，以及每一项怎么检查

WindowsMac更新

WordPress 自己关于网站被黑的常见问题，把没人授权的新用户列为被黑的明显迹象，同列的还有被 Google 或 Bing 列入黑名单、主机商停用网站、访客的杀毒软件报警。Google 的 Search Console 还加上了跳转、垃圾文字和黑客新建的垃圾页面。这些大多能在 WordPress 后台和 Search Console 里查。本文信息截至 2026 年 10 月 23 日。

简要回答

进入“用户 > 所有用户”，按“管理员”筛选，看有没有你没建过的账户。打开 Google Search Console 的“安全问题”报告，看有没有被黑内容、注入的垃圾内容和恶意代码。在“页面 > 所有页面”和“文章 > 所有文章”里找你没写过的内容，再确认 .htaccess、index.php、header.php 和 footer.php 有没有被改过。

WordPress 认为哪些算被黑的迹象？

WordPress 把它们叫作入侵指标（Indicators of Compromise）。它的常见问题列出了这些明显的迹象：

  • 网站被 Google、Bing 等列入黑名单
  • 主机商停用了网站
  • 网站被标记为传播恶意软件
  • 读者说他们的杀毒软件对网站报警
  • 有人告诉你，网站正被用来攻击别的网站
  • 出现你没有授权的行为，比如新用户
  • 用浏览器打开网站就能看到被黑的样子

常见问题还说，并不是所有的入侵都一样。Google 的帮助页面也提到，黑客可能会用各种隐藏真实内容的手段来隐藏垃圾内容，以免被网站所有者发现。所以网站在你看来一切正常，本身并不能证明什么。

怎么检查有没有我没加过的管理员？

“用户”页面列出所有账户，表格上方的链接可以按角色筛选。先看管理员：WordPress 的安全加固指南说，黑客一旦拿到管理员账户，就能安装恶意脚本。

  1. 在后台进入“用户 > 所有用户”。
  2. 点击表格上方的“管理员”链接。
  3. 逐个看每个账户的用户名和邮箱。记下你不认识的账户，以及发现的日期。
  4. 点回“所有用户”，其他角色也看一遍。
  5. 进入“设置 > 常规”，看“成员资格”和“新用户默认角色”。WordPress 列出的新用户默认角色选项里，包括“管理员”。

删除任何东西之前先记录下来。WordPress 的常见问题说，发现入侵后第一个该做的事，就是把看到的情况记录下来。

怎么发现跳转类的入侵？

Google 的“安全问题”报告列出了代码注入：黑客已入侵你的网站，并在网页中注入了恶意代码，例子之一就是打开网页时会重定向到恶意网站。在 WordPress 这边，常见问题特别点名了 .htaccess 文件，说你一定要看看它，因为它最常被人改来干坏事。

  1. 打开 Search Console 的“安全问题”报告。展开任何一个问题，可以看到示例网址和首次检测到的日期。
  2. 用 FTP 或 SFTP 连接网站，打开 WordPress 目录里的 .htaccess 文件，找你没加过的行。
  3. 其他目录也要查。WordPress 说，.htaccess 通常在安装目录的根目录，但也可能出现在其他目录里。

怎么找网站上的垃圾页面？

Google 描述了两种。内容注入是黑客把垃圾链接或文字加到你网站的网页里。网址注入是黑客在你的网站上新建网页，里面通常是垃圾词语或链接。

  1. 进入“页面 > 所有页面”。WordPress 按从新到旧排列，并显示“作者”和“日期”两栏，所以先看列表顶部有没有你不认识的标题。
  2. 用表格上方的状态链接，比如“草稿”和“私密”，查看没有公开的页面。
  3. 在搜索框里输入垃圾内容里的一个词，点击“搜索页面”。
  4. 在“文章 > 所有文章”里再查一遍。
  5. 把找到的内容和“安全问题”报告里的示例网址对照。

Google 的警告是什么意思？

说明 Google 发现了它认为可能危害访客的问题。Google 说，受影响的网页出现在搜索结果中时可能会带有警告标签，用户访问时浏览器也可能显示插页式警告页面。WordPress 的常见问题补充说，警告从整页的大警告到搜索结果里不太显眼的提示都有，而且 Bing、Yahoo 和电脑上的杀毒软件也有各自的黑名单。

  1. 打开 Search Console 的“安全问题”报告。如果显示绿色对勾，说明 Google 没有发现问题；否则会显示问题数量。
  2. 展开每个问题，查看示例网址、首次检测日期和“了解详情”链接。
  3. 也去注册 Bing 网站管理员工具。WordPress 的常见问题建议在各家站长平台注册，其中包括 Bing。

Google 要求先修复列出的全部问题，再提交审核请求，而且在收到最终结果之前不要重复提交。

怎么检查文件有没有被改过？

后台不会列出文件的改动。WordPress 的安全加固指南说，入侵总会留下痕迹，要么在日志里，要么在文件系统里，表现为新增或被修改的文件。常见问题点名了几个要留意的文件，因为改动它们会影响每一个页面：index.php、header.php、footer.php 和主题的 functions 文件。

  1. 做一次扫描。WordPress 的常见问题列出了 WordPress.org 插件目录里的扫描插件和远程扫描工具，并说没有哪一种是最好的，但几种一起用能大大提高发现问题的机会。
  2. 通过 FTP 或 SFTP，把这些文件和 .htaccess 跟出问题之前做的备份对比。
  3. 如果主机商提供日志，安全加固指南说，日志可以显示暴力破解的尝试，以及主题和插件编辑器的使用时间。
  4. 也扫描一下你自己的电脑。WordPress 说，有些攻击是从网站主人的电脑开始的，木马会截取 FTP 和后台的登录信息。

如果任何一项检查发现了问题，记下看到了什么、什么时候看到的，然后按网站被黑了怎么办处理。那篇按顺序讲了联系主机商、改密码、删除不明用户、用干净的备份恢复，以及向 Google 申请审核。

更多问题

WordPress 网站被黑了，会不会一点迹象都没有？

会。Google 说黑客可能会隐藏垃圾内容，不让网站所有者发现；WordPress 的常见问题也说，不是所有的入侵都一样。所以即使网站看起来正常，也值得看看“安全问题”报告，并扫描一下文件。

发现不明管理员，要马上删除吗？

先记下来。WordPress 的常见问题说，记录要放在第一位，而且在清理之前，即使网站已被感染，也要再做一次快照。什么时候删除这些用户、什么时候给所有人重置密码，见恢复指南。

登不进 WordPress 后台了怎么办？

WordPress 的常见问题说，攻击者有时会接管管理员账户。你可以重置密码，或者用主机商提供的 phpMyAdmin 直接进入用户数据表。它给出的一个更简单的办法是在那里改成你的邮箱，再在登录页面用“忘记密码”。

我的 WordPress 网站被黑是因为 PHP2Shell 吗？

不一定。PHP2Shell 是 PHP 的两个漏洞，PHP 官方已在 2026 年 10 月 21 日修复。截至 2026 年 10 月 23 日：美国 CISA 10 月 21 日的警报（10 月 23 日修订）说，截至发布时，它没有观察到这些漏洞在实际环境中被成功利用；国家互联网应急中心（CNCERT）说，漏洞技术细节与 PoC 已广泛传播；新加坡网络安全局（CSA）说，已有针对这些漏洞的大范围利用尝试的报告。这些说法都不是说某个具体网站已被攻破。先查一下网站的 PHP 版本，背景见PHP 漏洞 PHP2Shell 是什么。

更新 WordPress 能清除入侵吗？

单靠更新不行。WordPress 的常见问题把更新放在清理之后：清理干净后再更新，因为旧版本更容易被黑，清理完还要再改一次密码。

来源