网站被黑通常是这样被发现的：客户说打开网站跳到了奇怪的页面，或者百度搜索结果里出现“该网站可能存在风险”，或者网站里多出很多乱七八糟的页面。遇到这种情况别慌，按顺序处理。
第一步：止损和保留现场
- 先备份当前的网站文件和数据库：包括被篡改的状态，方便后面找原因，也防止处理时误删重要数据。
- 修改所有密码：网站后台管理员、服务器和面板、数据库、FTP，都要改成新的强密码；删除不认识的管理员账号。
- 必要时临时关闭网站：如果网站在给访客推送恶意内容，先挂一个维护页面，避免影响客户和品牌。
第二步：找到并清除问题
- 对比 WordPress 官方的核心文件，找出被修改或多出来的文件，重点看上传目录里出现的 PHP 文件。
- 检查主题和插件，删除来路不明的、很久没更新的、破解版的。
- 检查数据库里有没有被插入的恶意链接和脚本。
- 有干净的历史备份时，用备份恢复往往最快，但要先确认备份时间点之前没有被入侵，并在恢复后马上完成下面的加固。
第三步：善后
- 在百度搜索资源平台、Google Search Console 里检查安全问题提示，清理完成后申请复查。
- 如果被生成了大量垃圾页面，把这些网址设为 404 或 410，并在站长平台提交死链，处理方法见 网站死链和 404 怎么处理。
- 如果表单、客户数据可能泄露，评估影响并按规定处理。
WordPress 安全加固清单
- 及时更新：WordPress 核心、主题、插件保持最新，绝大多数入侵都利用已公开的旧版漏洞。
- 只用正规来源的插件和主题：官方插件库或正版授权，坚决不用破解版，破解版经常自带后门。
- 精简插件：不用的插件删除而不只是停用，插件越少，漏洞越少。
- 登录保护：强密码、限制登录失败次数，有条件的开启两步验证；管理员账号不要叫 admin。
- 关闭后台文件编辑：在配置文件里设置禁止在后台修改主题和插件代码。
- 文件权限：目录和文件不要设成所有人可写，上传目录禁止执行 PHP。
- 关闭用不到的接口：比如不需要的 XML-RPC。
- 全站 HTTPS。
- 定期备份并异地保存：每天或每周自动备份，至少保留一份在服务器以外的地方，并定期试着恢复一次。
- 服务器层面：开启防火墙，只开放必要端口，面板和 SSH 使用强密码或密钥。
我们交付的网站上线时就做好了这些安全设置，并在一年免费维护期内负责 WordPress 核心与插件的安全更新。为什么 WordPress 的安全问题大多出在维护上，可以看 企业建站为什么推荐 WordPress。如果您的网站已经出了问题，可以通过 联系方式 找到我们，先帮您做一次免费的检查。
