即使没有干净备份，有时仍能恢复遭入侵的 WordPress 网站，但必须有序处理。先限制损害、保存当前状态并查找入侵途径，再清理或重建网站、保护访问权限，并在恢复正常流量前确认入侵已排除。

如果网站处理付款、个人或健康资料，或正被用于攻击访客，应立即联系主机服务商和合格的事件响应人员。遵循机构的安全、隐私和通报流程。了解影响范围之前，不要承诺可以清理干净。

网站可能遭入侵的迹象

可能的迹象包括不认识的管理员账号、意外重定向、被植入的页面或链接、浏览器警告、不明文件、网站设定遭更改、对外发送垃圾邮件，或收到主机服务商的滥用通知。Search Console 的 Security Issues 报告可能会显示 Google 检测到的问题，但报告没有内容，并不代表网站一定安全。

记录受影响的网址、错误信息、日期、近期变更和通知。使用安全的设备与网络。不要点击可疑讯息中的链接来登录，也不要在公开支援论坛发布账号凭据或客户私人资料。

初步响应：限制影响并保存证据

  1. 联系主机服务商。 询问隔离方式、服务器日志、备份、受影响账号，以及同一主机账号内的其他网站是否也受影响。
  2. 减少风险暴露。 服务商可根据风险限制访问、显示维护提示或隔离网站。若安全且适用，可保留干净的联络或紧急页面。
  3. 保存遭入侵状态的副本。 在删除或覆盖证据前，受控地备份文件、数据库和相关日志。限制副本访问，因为其中可能含恶意程式或个人资料。
  4. 协调更改访问权限。 使用可信设备保护主机、域名、DNS、电邮、WordPress 和第三方账号。撤销陌生用户和会话。控制住攻击者后再更换凭据，并替换 WordPress 身份验证 salts，令现有会话失效。
  5. 指定事件负责人。 记录谁有权批准变更、联络受影响对象，并决定何时恢复网站服务。

不要以为开启维护模式就能控制入侵。隐藏公开页面后，后门仍可能运行。应与主机服务商一起选择能涵盖受影响文件和服务的控制措施。

调查入侵途径

检查访问日志、文件变更、新管理员账号、定时任务、插件和主题版本、主机警报、DNS 变更及近期部署。建立事件时间线，并确认电邮、付款、客户账号或其他连接系统是否也受影响。

调查范围应与影响相称。如果证据可能用于保险、监管审查或法律意见，应先咨询适当的专业人员再修改证据。没有依据时，不要声称知道攻击者身份或哪些资料被访问。

安全清理或重建

没有适用于所有事件的统一清理步骤。简单网站可能可由合格的 WordPress 专业人员替换受影响软件并检查数据库。严重或反复发生的入侵，应寻求事件响应专业支援，并与主机服务商协调。

  • 从可信来源替换 WordPress 核心文件，但不要覆盖已保存的证据副本。
  • 从原始可信发布者处重新安装主题和插件。移除已停止维护、未经授权或盗版的软件，并确认授权和兼容性。
  • 检查上传目录和可写目录是否出现不明可执行文件，同时保留合法的业务媒体。
  • 检查管理员账号、数据库内容、配置、定时任务、must-use 插件、drop-in 和服务器规则是否遭未经授权更改。
  • 删除恶意重定向、垃圾页面和植入内容。还要寻找其他访问途径，不要只删除表面症状。
  • 更新仍受支援的软件，并根据网站实际需要限制访问。不要套用一刀切的权限变更或未经审核的数据库指令。

如果无法确认网站已清理干净，应在干净环境中用已知可信的内容和软件重建网站。必要的业务数据也应先检查，再决定是否保留。视觉检查或单一恶意程式扫描插件，不能证明所有后门都已移除。

恢复正常流量前先验证

在受控环境测试重建后的网站。检查文件和账号变更、重复扫描、服务器日志、重定向，并测试表单、结账、电邮、分析和整合服务。确认备份可以生成和还原。

如果 Google Search Console 报告 Security Issue，应在问题解决后按照最新指引处理并申请复核。Google 可能需要时间重新抓取网站。申请复核并不保证特定搜索结果。

持续监控是否再次遭入侵、新账号、不明文件变更和异常对外活动。观察期间让主机服务商继续参与，并记录所有变更。

降低再次遭入侵的风险

通过经过测试的流程更新仍受支援的软件，移除不再需要的组件，以独特凭据和多重身份验证保护管理员账号，限制访问，并保存异地备份、定期测试还原。应把主机、DNS、电邮和第三方账号访问一并纳入安全边界管理。

何时应找专业人员

清理后问题再现、攻击者仍可访问、多个网站或账号受影响、可能涉及敏感资料，或无法确定入侵途径时，应升级处理。服务商应说明收集到的证据、仍未确定的事项、工作范围和将进行独立核查的内容。

应避开未经检查就保证完全清除、要求接管无关账号，或把扫描结果当成恢复证明的服务商。

常见问题

没有干净备份，遭入侵的 WordPress 网站还能恢复吗？

很多情况下可以，但结果取决于网站遭修改的程度和哪些内容仍可信。保存遭入侵状态、联系主机服务商、从可信来源替换软件，并检查数据库和访问途径。与原地修改不明文件相比，干净重建可能更安全。

是否应该立即更换所有密码？

使用可信设备保护访问权限，并与主机服务商协调。如果攻击者仍可访问网站，单纯更换密码可能无法控制事件。应在控制影响和恢复计划中撤销会话、更换凭据及身份验证 salts。

网站恢复需要多久？

没有可靠的固定时间。影响范围、证据、受影响系统、资料检查和审核要求都会影响工作量。先确认范围，再估算时间。

结语

先控制入侵、保存证据、与主机服务商合作，并从可信软件重建。只有确认访问权限、资料、主要功能和监控都正常后，才恢复公开流量。如果网站或资料的风险不明确，应寻求合格的事件响应支援。

资料核对日期：2026 年 10 月 20 日。 WordPress 遭入侵网站指引、Google 的Security Issues 指引和 Search Console 安全工具。