WordPress网站被“钓鱼网站”渗透攻击和挂马，如何拯救？

说说最近WordPress网站被“钓鱼网站”被大规模挂马的问题，被感染的WordPress网站通常都是被重定向至诈骗、抽奖活动这类网站上，细查会发现这些渗透方式：

• 网站打开变别人的网站，多为抽奖或者博彩的网站

• WordPress theme被安装上一个新的主题

• 自建站主题文件内有新的陌生文件
• 插件内会自动预装一个网站地图插件

而这些被攻击的WordPress网站都有一个共同点：WordPress版本为6.0.2。这种情况下，有些人会误认为自己的网站需要清空重建，或者直接弃用网站。这种做法对“钓鱼网站的”黑客程序来说就像“鱼离开了摩托车”、“楼下小卖铺停止供应万达广场的商品”–没啥用，你只需要简单几步就能从根本上解决问题。

不及时处理“钓鱼网站”攻击的危害

• 您的网站会无法访问（被禁）
• 你正在帮助小偷赚钱（所有钓鱼网站都是诈骗的）
• 搜索引擎优化受损，谷歌SEO排名直接消失
• 谷歌广告直接封停，被广告惩罚
• 您将逐步被互联网供应商阻止，显示不安全的页面
• 访问您的网站时，垃圾软件提示会显示告警

升级WordPress网站版本，删除恶意文件

WordPress网站被“钓鱼网站”渗透攻击至代码文件了，该如何从根源上拯救？进入文档处理恶意篡改后的文件！要快。

• 删掉名为Wp-skeleton的文件
• 在后台-插件中找到Core Sitemaps这个插件，并把它永久删除
• 建议用全新的 wordpress 安装替换根文件夹中的 wp-admin 和 wp-include，以确保核心文件没有被更改
• 他们在你的函数 php 中注入了一些代码，打开它并查看如下内容：

• 你需要删除的内容是：include_once(ABSPATH . WPINC . ‘/header.php’);

• 截止发稿时止，WordPress最新版本为6.0.3，可到网站管理员后台确认WordPress版本，一定要更新

影响面积巨大，是否说明WordPress网站安全性能“日落西山”？

目前全球有超过 4.55 亿人在使用WordPress，如果有任何漏洞空子被挖出来，黑客的程序总是会比曹操还快，所以这个黑客渗透活动总是大面积发生的，但这对于所有建站程序来说，风险都是均等的。这就是为什么让要您的网站保持最新很重要的原因，而早前我们在WordPress插件与网站安全性能共存有哪些妙招一文中提到过，WordPress版本及插件版本升级可以让网站更持久稳定。

WordPress网站防范“钓鱼网站”渗透攻击的实用提示

• 经常更新插件和主题
• WordPress core 保持更新
• 使用安全插件（如Loginizer 或 Wordfence）保护您的管理员登录页面免受程序攻击
• 在您的 wp 管理员中使用双层因素身份验证
• 尝试不要安装没有人使用的插件（看评分和用户数）
• 如果您不使用 xmlrpc，我们还建议停用它，只需在您的 functions.php 中添加： add_filter(‘xmlrpc_enabled’, ‘__return_false’);