① 项目背景
九原区一家企业官网，早上七点客户打电话来说你们网站怎么在卖彩票。我打开一看，首页底部被插了一段隐藏div，跳转到境外博彩站，百度快照已经收录了。网站是WordPress做的，外包公司三年前交付，之后没人管过，后台管理员还是admin。
② 咨询设计
应急的第一步不是删代码，是保留现场。先断公网只留运维IP，不关机——关机内存里的东西就没了；再对磁盘做镜像，导出最近三十天的Apache access log和auth log。排查webshell用三条线：按时间找最近七天修改过的php文件；按特征grep eval、base64_decode、assert、create_function；用河马和D盾做全量查杀。溯源看日志里POST到php文件的请求，找上传点。
③ 施工规划
这次查到入口是一个老版WP File Manager插件，带任意文件上传，攻击者传了个一句话木马到uploads目录，文件名伪装成图片。清理不能只删那个文件，插件目录整个删掉，主题里的functions.php被插了后门也要还原。核心文件用wp core download --force重装，wp-config重新生成盐值，数据库密码全改，管理员强制改密并开双因子。数据库里也可能被插了脚本，wp_posts表里的内容用正则筛了一遍script和iframe标签，清出七条。整个处置过程全程录屏，客户要拿去向监管部门说明。
④ 安全补丁
前面加WAF，规则挡住php上传和常见注入；wp-config里加DISALLOW_FILE_EDIT，关掉后台在线编辑；uploads目录禁止执行php，nginx里加一条location规则；wp-login限制访问IP，或者加一道验证码。文件完整性监控每天跑一次，核心文件哈希一变就告警。日志留存一百八十天，这次溯源就是靠日志，日志没了只能认栽。另外把百度站长平台的死链和快照更新提交了，三天后收录才恢复正常。
⑤ 验收交付
全站扫描零webshell，用三个查杀工具交叉验证；模拟上传php文件被WAF拦截；后台登录失败五次锁定三十分钟。连续监控十四天，异常请求告警十一条，全部是扫描器，没有成功入侵。交付一份应急报告，写清楚入侵时间线、入口、影响范围、处置动作。
⑥ 售后承诺
网站被黑不分白天黑夜，我们承诺2小时响应，严重情况通宵处置。大年三十电话打得通，17704868686。每年免费做一次渗透测试和代码审计，别等挂上博彩链接才想起来还有个官网。
【不舍昼夜技术 · 包头IT全生命周期服务】
业务全闭环：咨询规划、方案设计、工程实施、竣工验收、维保售后。
咱能干的：包头修电脑/装监控/拉网线/做系统/救数据/办软件/卖耗材。
技术范畴：5G通信、大数据服务、信息系统集成、网络安全、商用密码、平面设计。
服务区域：昆区、青山区、九原区、东河区、高新区等包头全境，随叫随到。
技术热线：17704868686（本地专业团队，不舍昼夜为您守候！）