DISALLOW_FILE_EDIT也挡不住？WordPress被篡改急救指南

开启 DISALLOW_FILE_EDIT 后仍出现“主题/插件文件被改、被插代码”，那可能不是这个开关失效，而是篡改发生在“编辑器之外”：服务器文件权限、面板/FTP、账号被盗、插件漏洞植入后门等都能直接改文件。

1）先把概念说清：DISALLOW_FILE_EDIT 只能挡住什么？

DISALLOW_FILE_EDIT 只会禁用 WordPress 后台的外观/插件文件编辑器（Theme/Plugin Editor）。
它不会阻止以下行为：

通过 FTP/SFTP/SSH/面板文件管理器直接改文件
恶意代码在服务器上以 PHP 进程权限写入/覆盖文件
通过漏洞上传 webshell、写入 wp-content/uploads、mu-plugins 等
通过“更新/安装”机制改动文件（这需要另一个开关：DISALLOW_FILE_MODS）

所以“仍被篡改”基本指向：你的站点或服务器仍然存在可写入口。

2）最常见的 9 类原因

2.1 文件系统权限过宽 / 所有者错误（最常见）

wp-content/、主题目录、插件目录对 Web 运行用户（如 www-data）可写，恶意 PHP 一旦落地就能改文件
典型表现：反复被插入同一段 eval/base64/gzinflate，你删了过几小时又回来

2.2 WordPress 管理员账号或 Cookie 被盗

账号被撞库、弱密码、复用密码、无 2FA
被装了“伪装插件/注入脚本”的浏览器扩展盗取 Cookie

2.3 FTP/SFTP/面板账号泄露

宝塔/1Panel/cPanel 登录泄露或弱口令
FTP 明文传输被截获（尤其老 FTP）

2.4 存在高危插件/主题漏洞（上传、反序列化、RCE、任意文件写入）

表象：uploads 里出现 .php、phtml、奇怪命名图片（实际是 PHP）
或者插件目录出现“你从未装过”的文件

2.5 持久化后门：mu-plugins / drop-in / 自动任务

重点看：

wp-content/mu-plugins/
wp-content/plugins/ 里伪装成系统插件
wp-content/advanced-cache.php、object-cache.php 等 drop-in
wp-cron 定时回写、还原恶意代码

2.6 数据库被注入：选项表/小工具/文章内容里藏脚本

wp_options（autoload）里塞恶意 JS
小工具/页面构建器模块里被插 <script>（看起来像“文件没改但页面被劫持”）

2.7 服务器层已被拿下（同机其他站点/共享主机横向感染）

同一台主机多个站，只要一个站被攻破，可能通过权限配置问题影响其他站

2.8 缓存/CDN 误判为“仍被篡改”

你修复了源站文件，但 CDN/缓存仍在吐旧内容
（建议先确认“源站文件 hash 是否再次变化”，避免误判）

2.9 开发/部署链路导致“自动覆盖”

Git/CI、同步脚本、备份还原任务把旧文件（含恶意）重新覆盖回来

3）如何快速确认：到底是谁在改？改了什么？

按顺序做，能把误判和“反复感染”分开：

3.1 先确认是真改文件还是缓存

记录被篡改文件的修改时间 mtime与hash
过 30–60 分钟再看是否变化

如果 hash 变化：是真正在改文件；如果不变但页面异常：多半是缓存/数据库注入/前端劫持

3.2 做一次完整性核验（定位“哪些文件不该变却变了”）

WordPress 核心：校验核心文件是否被替换
插件/主题：对照官方包或重新下载比对

3.3 查“近期新增/近期修改”文件（抓后门最快）

重点目录：

wp-content/uploads/
wp-content/mu-plugins/
wp-includes/、wp-admin/（核心目录出现陌生文件要高度警惕）
根目录是否多出随机命名 PHP

Linux 常用排查（示例）：

# 近 3 天修改过的 php 文件（按需改天数）
find . -type f -name "*.php" -mtime -3 -print

# uploads 里出现 php 基本不正常
find wp-content/uploads -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \) -print

# 快速搜常见混淆特征（不是定罪，只是抓线索）
grep -R --line-number -E "base64_decode|gzinflate|str_rot13|eval\(|assert\(" wp-content | head

4）高成功率修复流程

4.1 立刻止血

暂时开启维护页 / 限制后台登录（白名单 IP 或 Basic Auth）
立刻更换：WP 管理员密码、数据库密码、面板密码、SFTP/SSH 密码、所有 API Key
强制所有管理员重新登录（改密 + 失效 Cookie）

4.2 清后门

删除 uploads 中一切可执行脚本（原则：uploads 不应有 PHP）
检查并清理 mu-plugins、drop-in 文件（如你不确定来源，先备份再移除验证）
查 wp-cron：是否存在定时写入、远程拉取脚本的任务

4.3 可信重装

重新覆盖 WordPress 核心文件（不要动 wp-config.php 和 wp-content 里的媒体）
插件与主题：只从可信来源重新安装，不要保留旧压缩包/旧目录

4.4 修权限

推荐基线（通用思路）：

目录：755
文件：644
wp-config.php：更严（如 600/640，看你的运行用户与组）
确保 Web 运行用户不应对“全站”拥有写权限，至少不要对核心目录可写

4.5 禁止 uploads 执行

Nginx/Apache 配置禁止 wp-content/uploads 执行 PHP
这一步能直接砍掉大量“上传即执行”的攻击链

5）加固建议（让“篡改”从根上变难）

开启 DISALLOW_FILE_MODS（阻止后台安装/更新文件，减少写入面）：仅在你有规范部署流程（Git/CI）时最适合
开启 2FA、限制登录尝试、改默认登录路径（配合 WAF 更好）
关闭不需要的 XML-RPC（或限制）
定期更新：WP 核心/插件/主题（漏洞窗口越短越好）
上 WAF（Cloudflare/WAF 插件/主机防护），拦截常见 RCE/上传利用
文件完整性监控：一旦文件变化就告警（比事后排查省很多时间）

6）什么时候该“重建服务器/全量迁移”？

如果出现以下任一情况，建议直接重装系统/迁移到干净环境，再从可信备份恢复：

你发现了 webshell 且无法确定入侵时间
服务器账号/面板多次异常登录
核心目录反复被改，且你已清理插件主题仍回写

联系我们
教程看不懂？联系我们为您免费解答！免费助力个人，小企站点！	客服微信
① 电话：020-2206-9892
② QQ咨询：1025174874
③ 邮件：[email protected]
④ 工作时间：周一至周五，9:30-18:30，节假日休息