WordPress 网站被入侵或恶意跳转后应该怎么处理？

网站被入侵并不只是“杀毒”问题，它可能同时影响客户信任、搜索收录、邮件信誉和业务连续性。第一步应该是控制风险，并保留足够证据，避免边修边破坏现场。

先确认故障现象，不要立即乱改

记录受影响的网址、出现时间、设备、浏览器，以及问题只对访客、登录用户还是搜索引擎流量出现。恶意跳转经常带有条件判断，一次访问正常并不能证明网站安全。

保存截图、服务器日志、访问日志和安全日志。不要同时安装多个安全插件，因为新的扫描和写入会覆盖文件时间，增加定位入口的难度。

在安全设备上重置管理员、主机、数据库、FTP 和控制面板密码，删除陌生管理员账号，撤销不用的 API 密钥、应用密码和部署令牌。

如果结账、会员账号或客户资料可能受影响，应临时关闭高风险功能，同时保留清晰的状态说明，让业务人员知道哪些服务暂停以及原因。

删除文件前先完整备份网站文件和数据库。这份备份不是为了直接恢复，而是用于后续比对、确认哪些文件被修改以及攻击从哪里进入。

备份应保存到受感染服务器之外，并包含配置文件、定时任务、Web 服务器规则、数据库账号和上传目录中的异常文件。

将 WordPress 核心、主题和插件与可信版本比对，重点检查近期修改的 PHP 文件、隐藏管理员、数据库注入、定时任务、可写目录以及被修改的 .htaccess。

页面上的跳转只是攻击结果，真正入口可能是废弃插件、泄露密码、盗版主题、暴露的测试站或权限过大的主机账号。只删跳转代码，通常很快会再次感染。

从官方或可信来源重新安装核心和扩展，只恢复经过检查的上传文件和内容，并扫描数据库里的脚本、陌生域名和隐藏链接。

不要默认“最新备份就是干净的”。如果无法确认备份时间早于入侵，重新构建并选择性恢复内容通常更安全。

检查电脑和手机页面、表单、登录、结账、支付回调、订单邮件、跳转和搜索结果落地页，并使用退出登录的浏览器及不同网络测试。

恢复后连续观察日志和文件变化。相同文件再次生成或持续出现异常外连，说明攻击持久化仍未清除。

记录事件时间线、入口、受影响组件、已修改密码、替换文件和完成的测试，作为后续维护和客户沟通依据。