WordPress网站被黑了怎么办？完整恢复指南（2025）

你的WordPress网站被黑了？先深呼吸，不要慌。这篇指南会带你一步一步识别攻击、清除恶意代码、找回对网站的控制权——大多数情况下可以在24小时内完成。

你的网站被黑了吗？这些是最常见的信号

• 谷歌搜索结果显示「此网站可能已遭到黑客入侵」警告
• 访客被自动跳转到赌博、药品或垃圾广告页面
• WordPress后台出现你没有创建的管理员账户
• 主机商发邮件通知恶意软件或暂停账户
• Google Search Console突然出现大量你没有发布的页面
• 网站加载极慢，或出现你没有添加的弹窗广告
• 网站文件（如wp-config.php、.htaccess）被意外修改

重要提示：很多黑客攻击专门对已登录管理员隐藏，请务必用无痕窗口或其他设备查看你的网站，才能看到普通访客看到的真实情况。

网站被黑后立刻做这5件事

1. 开启维护模式——阻止访客看到被篡改的内容
2. 立即修改所有密码——WordPress管理员、FTP、cPanel、数据库密码全部更换
3. 下载完整备份——就算是被黑的版本也先备份，还能用于取证分析
4. 截图记录受损情况——方便与主机商沟通，也方便后续排查
5. 联系主机商——他们通常有服务器级别的日志，能帮你锁定攻击入口

2025年最常见的WordPress黑客攻击类型

攻击类型	具体表现	清除难度
制药黑客（Pharma Hack）	在你的Google搜索结果中注入违禁药品关键词，页面外观不变	中等
跳转黑客（Redirect Hack）	将访客（尤其是手机用户）跳转到垃圾网站	较难
后门注入（Backdoor）	植入隐藏PHP脚本，即便清除后也能重新入侵	非常难
创建恶意管理员账户	在后台创建隐藏管理员账号维持访问权限	容易发现
SEO垃圾页面	自动生成数千个垃圾关键词页面，破坏你的SEO权重	较难

第一步：扫描恶意软件

在动手清除之前，你需要先搞清楚感染的位置和范围。推荐同时使用两款扫描工具，因为黑客有时会专门针对某款工具写规避代码。

• Wordfence Security（免费版）：在后台安装后运行完整扫描，会对比官方WordPress文件库，标记出所有被篡改的文件
• Sucuri SiteCheck：免费在线扫描，检测外部可见的恶意代码和黑名单状态
• MalCare：一键自动清除，适合没有技术基础的站长

第二步：清除感染

按优先级从高到低处理：

1. 删除可疑管理员账户

进入后台「用户 → 所有用户」，删除你不认识的管理员账号。如果无法登录后台，可以通过phpMyAdmin直接操作数据库删除。

2. 替换WordPress核心文件

从wordpress.org下载同版本的WordPress安装包，通过FTP替换以下目录（不要删除wp-content和wp-config.php）：

• /wp-admin/ 目录——完整替换
• /wp-includes/ 目录——完整替换
• 根目录下的PHP文件（index.php、wp-login.php等）

3. 重新安装所有插件和主题

不是「更新」，是删除后重新安装。从wordpress.org或你购买时的账户下载全新的安装包。顺手删掉所有不再使用的插件——废弃插件是最常见的攻击入口之一。

4. 清理数据库

打开phpMyAdmin，在wp_posts和wp_options表中搜索以下典型恶意代码特征：eval(base64_decode、iframe src、document.write。找到后手动删除相关记录。

最容易被忽视的地方：后门文件。黑客几乎总会在不起眼的位置（/uploads目录下的假图片文件、主题目录里的隐藏PHP文件）埋下第二个入口。如果清除了主要感染却没找到后门，网站通常在72小时内就会再次被黑。这也是自己处理最大的风险所在。

第三步：关闭所有攻击入口

• 更换所有凭据：WordPress所有用户密码、FTP密码、cPanel密码、数据库密码
• 立即更新WordPress核心、所有主题和插件
• 在wp-config.php中更换全套Secret Keys（从wordpress.org/secret-key获取新密钥）
• 检查并修复.htaccess文件，删除任何可疑规则

第四步：加固网站防止再次被黑

• 安装防火墙：Wordfence或Cloudflare WAF，在恶意请求到达WordPress之前就拦截
• 所有管理员账号开启双重验证（2FA）
• 限制登录失败次数，防止暴力破解wp-login.php
• 禁用XML-RPC（如果你不需要的话）
• 设置自动备份：每日备份到站外存储（Google Drive、S3等）
• 开启文件完整性监控：一旦有文件被修改立即收到通知

什么时候该找专业人士？

以下情况建议直接找专业的WordPress安全工程师处理：

• 自己清除后72小时内再次被黑（说明后门没有找到）
• 网站涉及电商或用户数据，清除时间就是损失金额
• 主机商已经暂停账户，需要尽快恢复
• 不熟悉FTP操作和PHP代码，担心误删重要文件
• 没有可用的干净备份

DyingWP专注WordPress安全修复，已处理50+被黑站点。提供固定报价，24小时内恢复，附带30天再感染保障。

常见问题

WordPress网站被黑有哪些明显迹象？

最明显的迹象包括：谷歌显示「此网站可能已遭到黑客入侵」警告、访客被跳转到垃圾网站、后台出现陌生管理员账户、主机商发来恶意软件通知。注意务必用无痕窗口检查——很多黑客攻击会对已登录管理员隐藏。

修复一个被黑的WordPress网站需要多长时间？

有经验的工程师处理基础恶意软件清除需要2-4小时。涉及后门注入或数据库感染的复杂情况需要6-12小时。DyingWP的专业修复服务，绝大多数情况下24小时内完成恢复。

WordPress黑客修复服务收费多少？

专业WordPress黑客修复服务通常收费1000-5000元，具体取决于感染程度和网站规模。DyingWP提供固定报价起步价，包含30天再感染保障，欢迎联系我们获取免费评估。

还原备份能修复被黑的网站吗？

只有在你能确认备份时间早于感染时间的前提下才有效。如果备份的版本已经包含恶意代码，还原只会把问题带回来。另外还原备份意味着会丢失备份后的所有正常内容更新。

为什么清除后网站还是一直被黑？

最常见原因是遗漏了后门文件。黑客会在不起眼的位置埋藏隐藏入口，普通清除很难找全。第二常见原因是没有更换密码或修复最初的漏洞入口（比如没有更新存在漏洞的插件）。