你的网站看起来一切正常。页面能打开，设计没问题，wp-admin 里也没有什么异常。直到某天，有客户告诉你 Google 搜索结果里出现了药品广告，或者网站流量莫名下滑，又或者 Chrome 开始警告访客不要访问。
这正是一类日益常见的 WordPress 感染的运作方式：它专门设计用来躲避网站所有者。安全研究人员追踪到的一些攻击活动会安装伪造插件，只在搜索引擎访问时注入垃圾内容，并且只将部分访客重定向到诈骗网站。本指南将介绍如何检查网站、彻底清理，并保持网站干净。
要点速览
- 隐藏的 SEO 垃圾内容只向搜索引擎展示药品或博彩内容，所以在你看来网站一切正常。
- 一种常见手法是以你自己的域名命名伪造插件，例如 example-com/example-com.php。
- 在 Google 中用 site:yourdomain.com 加上垃圾关键词进行搜索，并在 Search Console 中查找你从未创建过的页面。
- 清理意味着替换文件、重置所有密码并删除隐藏的管理员用户，而不仅仅是删掉一个文件。
- 清理完成后，请向 Google 申请审核，让警告和垃圾搜索结果消失。
隐藏的 SEO 垃圾内容是如何运作的
恶意软件会先检查每个请求，再决定显示什么内容：
- 面对搜索引擎爬虫，它会插入垃圾内容：关于药品、博彩、贷款或仿冒商品的链接、页面或文字。Google 会把这些内容收录在你的域名下，让垃圾内容借用你网站的信誉。
- 面对你和已登录的团队成员，它会显示真实的网站，所以一切看起来都没问题。
- 面对部分访客（通常只是通过手机从 Google 进入的访客），它会将其重定向到诈骗网站，然后暂停一段时间，让问题难以复现。
最受青睐的藏身之处之一，是以你自己网站命名的插件。在 example.com 上，其文件夹和文件可能是 example-com/example-com.php，看起来就像是你的开发人员做的。另一些攻击活动则伪装成安全或 SEO 插件，使用经过大量混淆、难以阅读的代码，或者干脆在“插件”页面中完全隐藏自己。
网站可能已受感染的迹象 你域名的 Google 搜索结果中出现垃圾关键词或外语页面；出现“前方为欺骗性网站”或“此网站可能遭到黑客入侵”的警告；客户反映遇到你无法复现的重定向；搜索流量突然下降；或者出现了没人创建过的新管理员用户。
第 1 步：查看 Google 看到了什么
在 Google 中搜索你的域名，并加上常见的垃圾关键词。如果返回了你从未写过的页面，说明 Google 已经收录了你网站上的垃圾内容。
site:yourdomain.com viagra
site:yourdomain.com casino
site:yourdomain.com replica
site:yourdomain.com "buy" "online" "cheap"接着打开你网站的 Google Search Console。在安全和人工处置措施 › 安全问题中查看是否有警告，并在网页报告中查找你不认识的 URL。网址检查工具会按照 Googlebot 看到的样子展示页面，这是发现仅向爬虫展示内容的最快方法。
第 2 步：找出入侵者
在 wp-admin 中检查插件和用户。但由于部分恶意软件会在 wp-admin 中隐藏自己，你还需要通过 cPanel 的文件管理器或 SSH 直接检查文件：
# Plugin folders on disk (compare with the Plugins screen)
ls -la wp-content/plugins/
# Must-use plugins load automatically and don't need activating
ls -la wp-content/mu-plugins/
# PHP files don't belong in uploads
find wp-content/uploads -name "*.php"
# Core files that differ from the official release
wp core verify-checksums
# Plugins whose files differ from the wordpress.org versions
wp plugin verify-checksums --all
# Every administrator account
wp user list --role=administrator查找以你域名命名的插件文件夹、mu-plugins 中任何不是你添加的内容、uploads 中的 PHP 文件，以及你不认识的管理员用户。如果你使用的是 WebGee cPanel 主机，还可以用 cPanel 的恶意软件扫描器进行扫描，并查看 cPGuard 的 CMS Threats 报告，它同样会标记出每个 WordPress 安装中被感染的文件和数据库内容。
第 3 步：彻底清理
最常见的错误是删掉那一个恶意文件就收手。攻击者几乎总会留下第二条回来的路。请逐项完成以下所有步骤：
清理步骤（按此顺序）
- 先为受感染的网站做一份快照备份，便于对比，也确保不丢失任何内容
- 重新安装 WordPress 核心文件（wp core download --force --skip-content），保留 wp-content 和 wp-config.php
- 删除所有插件和主题，然后从官方来源重新安装全新副本；删除任何你不认识的内容
- 删除 wp-content/uploads 中的 PHP 文件，以及 mu-plugins 中任何异常的内容
- 删除未知的管理员用户，并检查 wp-config.php 和 .htaccess 中是否有被添加的代码或重定向
- 检查 cPanel 中的 cron 任务和邮件转发器，看是否有不是你创建的内容
- 重置所有密码：WordPress 管理员、cPanel、数据库、FTP/SSH 和邮箱；然后更换 wp-config.php 中的 WordPress 安全密钥
- 更新所有过时的组件（包括 PHP），堵住攻击者利用的漏洞
如果你有感染发生前的干净备份，直接恢复可能会更快。恢复文件和数据库后，仍然要重置密码并完成更新，否则攻击者会从同一个入口再次进来。我们的恶意软件清理指南对每个步骤有更详细的说明。
第 4 步：告诉 Google 问题已修复
网站清理干净后，回到 Search Console。在安全问题下选择请求审核，简要说明你删除了哪些内容，以及如何堵住了入侵入口。在 Google 重新抓取期间，可使用移除工具将垃圾 URL 从搜索结果中隐藏，并在接下来几周内再次执行 site: 搜索进行检查。
防止再次感染 及时更新插件和主题，删除不用的插件和主题，只给真正需要的人分配管理员权限，使用强度高且各不相同的密码，并定期备份。大多数再次感染都是通过与第一次相同的过时插件发生的。
无需等你发现的安全防护
隐藏的垃圾内容就是为了让你无法通过浏览网站发现它。在 WebGee cPanel 主机上，cPGuard 会扫描你账户中的每个 WordPress 安装，查找存在漏洞的插件、恶意文件和被感染的数据库内容，并每周通过邮件向你发送报告。恶意软件扫描、Web 应用防火墙和 JetBackup 恢复均已包含在内；一旦发现问题，我们的工程师可通过 24/7 在线聊天与你一起排查。
常见问题
我的网站怎么会向 Google 显示垃圾内容，却不向我显示？
恶意软件会先判断是谁在访问。如果访客看起来像搜索引擎爬虫，它就插入垃圾内容或链接；如果是已登录的管理员或普通浏览器，它就显示正常页面，因此感染可能几周都不会被发现。
如何检查 Google 是否在我的网站上看到了垃圾内容？
在 Google 中搜索 site:yourdomain.com，并加上 viagra、casino 或 replica 等关键词。在 Google Search Console 中，查看“网页”报告里是否有你从未创建的 URL，并查看“安全问题”报告中是否有警告。
删除伪造插件就够了吗？
通常不够。攻击者会留下后门：额外的管理员用户、被篡改的核心文件、cron 任务或数据库中的代码。请完成完整的清理流程，包括替换核心文件和重置所有密码，否则网站往往几天内就会再次被感染。
攻击者是怎么入侵的？
最常见的途径是存在已知漏洞的过时插件或主题，或者被盗、强度不足的管理员密码。必须找到并堵住这个入口，否则清理效果不会持久。
Google 要多久才会停止显示垃圾内容？
清理网站并在 Search Console 中申请审核后，警告通常会在几天内解除。垃圾页面会随着 Google 重新抓取而逐渐从搜索结果中消失，这可能需要更长时间；你可以使用 Search Console 的“移除”工具来加快这一过程。
