[WordPress] 網站被駭後的處理流程

本篇文章更新時間：2019/07/18
如有資訊過時或語誤之處，歡迎使用 Contact 功能通知。
一介資男的 LINE 社群開站囉！歡迎入群聊聊～
如果本站內容對你有幫助，歡迎使用 BFX Pay 加密貨幣 或 新台幣 贊助支持。

這圖會不會讓人覺得我是被害者啊ＸＤ

首先要知道是從哪裡被駭客入侵的，常見檢查得點有三個，也代表其對應嚴重程度，越後面越嚴重。

1. 主題目錄下 404.php 是否有異常程式注入。這通常是主題本身年久失修（或使用者沒更新）。安插在這邊純粹就是要先藏好，不讓使用者觀察到！
2. WordPress 根目錄下的 index.php 。一樣觀看是否有異常程式碼，會直接在這邊搞鬼的有兩種：全站駭掉的破壞與拿你網站當廣告跳板。
3. 根目錄下的 wp-config.php 。

基本上檢查到 3 也已經被注入惡意程式碼的時候，可以說很嚴重了！

但，其實沒有人會沒事檢查這些地方的拉！ 網站建置好的時候，記得使用 Google 網站管理員，如果網站真有異常會通知，只是沒這麼即時就是。

平時還是以備份加保持更新為積極防範！ 回到處理流程，既然已被感染，就不能保證其他正常，所以還原流程是先把 wp-content 整個資料夾與 wp-config.php 中資料庫連線資訊備份好，然後把全站檔案給砍了，「重新放置」過最新版的 WordPress（放心，不會洗掉你資料庫） ，隨後將 wp-content 目錄覆蓋還原。 這階段是系統端手動更新到最新（注意：不是使用自動更新的方式，而是手動），以及將受害範圍縮小到 wp-content 中。

隨後，使用終端機進去去掃一下 wp-content 目錄是否也有中獎。 grep -Ril eval ./ 與 grep -Ril base64_decode ./ 上面的語法會針對這惡意程式常用寫法來搜尋，參考網址提供的資訊可以自行替代。

比對出來的檔案再一一去看是否有夾帶惡意程式碼，除了主題與外掛資料夾內的問題檔案，其他都是直接刪除即可（主題與外掛檔案如果隨意刪除可能會造成網站不能開啟哦！）。

至於主題與外掛也被影響到的話，可以照著全站系統核心的手動更新做法（先刪除再重裝）試試！

再次強調，不要純用自動更新方式修正。你想到的駭客也想的到，有很多惡意注入都是藏在正常也關鍵的檔案開頭，不會影響到正常執行過程，這就是木馬後門。

經過「人工」確定掃除「檔案」後，還有「資料庫」部分。匯出資料後找找「