¿No se puede detener DISALLOW_FILE_EDIT? Guía de primeros auxilios para la manipulación de WordPress

abre disallow_file_edit Si sigue apareciendo "Se han modificado los archivos del tema/plugin, se ha insertado código", puede que no sea que el interruptor no funcione, sino que elLa manipulación se produce "fuera del editor".: Permisos de archivos del servidor, panel/FTP, robo de cuentas, vulnerabilidades de plugins implantados backdoor, etc. pueden cambiar directamente el archivo.

1) Quitemos el concepto de en medio: ¿qué puede bloquear únicamente DISALLOW_FILE_EDIT?

disallow_file_edit sólo desactivará el WordPress entre bastidoresEditor de archivos de apariencia/plugin(Editor de temas y plugins).
itno (actuará, sucederá, etc.)Pon fin a los siguientes comportamientos:

pasar (una factura o inspección, etc.) Administrador de archivos FTP/SFTP/SSH/PanelCambio directo de archivo
El código malicioso se almacena en el servidor como Permisos de proceso PHPEscribir/sobrescribir archivos
Cargar webshell, escribir wp-content/uploadsymu-plugins et al. (y otros autores)
Modificación de archivos mediante el mecanismo "actualizar/instalar" (esto requiere otro interruptor.)DISALLOW_FILE_MODS)

Así que "todavía manipulado" básicamente apunta a eso:Su sitio o servidor todavía tiene entradas con permisos de escritura.

(2) Los nueve tipos de causas más comunes

2.1 Permisos excesivos del sistema de archivos / errores de propietario (más comunes)

wp-contenido/El directorio de temas, el directorio de plug-ins y el directorio de plug-ins no están disponibles para los usuarios que están ejecutando la web (p. ej. www-datos) es escribible, PHP malicioso puede cambiar el archivo una vez que ha aterrizado
Actuación típica: inserción repetida del mismo párrafo eval/base64/gzinflateLo borraste y volviste unas horas después.

2.2 Cuenta de administrador de WordPress o Cookie robada

Cuentas bloqueadas, contraseñas débiles, contraseñas reutilizadas, sin 2FA
Robo de cookies por extensiones del navegador con "plugins/scripts de inyección falsos".

2.3 Fuga de cuentas FTP/SFTP/Panel

Pagoda/1Panel/cPanel Filtración de Login o Contraseñas Débiles
Transferencias de texto plano FTP interceptadas (especialmente FTP antiguos)

2.4 Existen vulnerabilidades de alto riesgo en plugins/temas (carga, deserialización, RCE, escritura arbitraria de archivos)

Representación:carga que ocurren en el interior .phpyphtmlimágenes con nombres extraños (en realidad PHP)
O un archivo "que nunca instaló" en el directorio de plugins.

2.5 Puertas traseras persistentes: mu-plugins / drop-in / tareas automatizadas

Mirada concentrada:

wp-content/mu-plugins/
wp-content/plugins/ Se disfraza de complemento del sistema.
wp-content/advanced-cache.phpyobject-cache.php sin cita previa
wp-cron Reescritura y restauración temporizadas de código malicioso

2.6 Inyección en bases de datos: scripts ocultos en tablas de opciones/widgets/contenido de artículos

wp_options(autoload) Relleno con JS malicioso.
Módulo constructor de widgets/páginas conectado <script>(Parece "archivo no modificado pero página secuestrada").

2.7 Se ha caído el nivel del servidor (infección lateral de otros sitios/hosts compartidos en la misma máquina)

Múltiples estaciones en el mismo host, siempre y cuando una estación se vea comprometida, puede afectar a otras estaciones a través de problemas de configuración de permisos.

2.8 Caché/CDN juzgados erróneamente como "aún manipulados"

Has arreglado los archivos fuente, pero la CDN/cache sigue escupiendo contenido antiguo
(Se recomienda comprobar primero "si el hash del archivo fuente ha vuelto a cambiar" para evitar juicios erróneos).

2.9 Enlaces desarrollo/despliegue que conducen a "anulaciones automáticas"

Git/CI, Scripts de sincronización, Tareas de restauración de copias de seguridad para sobrescribir archivos antiguos (incluidos los maliciosos) de nuevo en

3) Cómo identificar rápidamente: ¿quién está cambiando realmente? ¿qué ha cambiado?

Hacerlos en secuencia separa los errores judiciales de las "infecciones recurrentes":

3.1 Confirme primero si el archivo está realmente modificado o en caché

Registro de documentos falsificadosTiempo de modificación mtimejunto conhash (cálculo)
Compruebe si se han producido cambios al cabo de 30-60 minutos.

Si el hash cambia: en realidad está cambiando el archivo; si no cambia pero la página es anormal: probablemente sea caché/inyección de base de datos/secuestro de front-end.

3.2 Realizar una comprobación de integridad (localizar "documentos que no deberían haber cambiado pero lo hicieron")

WordPress Núcleo: comprobar que el documento básico no ha sido sustituido
Plugins/temas: comparar con el paquete oficial o volver a descargar

3.3 Compruebe los archivos "añadidos recientemente/modificados recientemente" (la forma más rápida de detectar puertas traseras)

Catálogo focalizado:

wp-content/uploads/
wp-content/mu-plugins/
wp-includes/ywp-admin/(Esté muy atento a los archivos desconocidos en el directorio principal)
Si el directorio raíz tiene o no un nombre aleatorio PHP

Solución de problemas comunes de Linux (ejemplo)

# archivos php modificados en los últimos 3 días (por días necesarios)
find . -type f -name "*.php" -mtime -3 -print

# subidas con php básicamente no funciona
find wp-content/uploads -type f \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \) -print

# Búsqueda rápida de características confusas comunes (no condenas, sólo captar pistas)
grep -R --line-number -E "base64_decode|gzinflate|str_rot13|eval\(|assert\(" wp-content | head

4) Proceso de reparación de alta tasa de éxito

4.1 Detener la hemorragia inmediatamente

Habilitar temporalmente las páginas de mantenimiento / restringir los inicios de sesión en el backend (Whitelist IP o Basic Auth)
Cambia inmediatamente: la contraseña del administrador de WP, la contraseña de la base de datos, la contraseña del panel, la contraseña SFTP/SSH, todas las claves API.
Obligar a todos los administradores a volver a iniciar sesión (cambio de contraseña + cookie desactivada)

4.2 Despejar la puerta trasera

eliminando carga Todos los scripts ejecutables en las subidas (principio: las subidas no deben ser PHP).
Inspección y limpieza mu-pluginsEl archivo, drop-in file (si no estás seguro de la fuente, haz una copia de seguridad y luego elimínalo para validarlo)
apellido Zha wp-cron: Si existen o no tareas cronometradas para escribir y extraer remotamente scripts.

4.3 Recarga de confianza

recuperar WordPress Documento básico（No te muevas. wp-config.php responder cantando wp-content (medios de comunicación)
Plugins y temas: reinstálalos sólo de fuentes fiables.No guarde archivos antiguos/directorios antiguos

4.4 Modificación de la autoridad

Línea de base recomendada (Pensamientos genéricos):

Catálogo:755
Documentación:644
wp-config.phpMás ajustado (por ejemplo 600/640(Mira el usuario y el grupo con el que estás funcionando)
Asegúrese de que el usuario que ejecuta la web no debe tener acceso de escritura a "todo el sitio", al menos no al directorio principal.

4.5 Desactivar las subidas

Desactivar configuración Nginx/Apache wp-content/uploads Ejecución de PHP
Este paso corta de raíz gran parte de la cadena de ataque "cargar y ejecutar".

5) Recomendaciones de refuerzo (dificultar la "manipulación" de raíz)

abre DISALLOW_FILE_MODS(evita la instalación/actualización de archivos en el backend, reduce la superficie de escritura): más adecuado sólo si se dispone de un proceso de despliegue disciplinado (Git/CI).
Habilitar 2FA, limitar los intentos de inicio de sesión, cambiar la ruta de inicio de sesión por defecto (mejor con WAF)
Desactivar XML-RPC no deseado (o limitarlo)
Actualización periódica: núcleo WP/plugins/temas (cuanto más corta sea la ventana de vulnerabilidad, mejor)
En WAF (Cloudflare/WAF plugin/host protection), bloqueo de exploits RCE/upload comunes.
Supervisión de la integridad de los archivos: alertas sobre cambios en los archivos (ahorra mucho tiempo en comparación con la solución de problemas a posteriori).

6) ¿Cuándo debo "reconstruir servidores/migración completa"?

Si ocurre cualquiera de los siguientes casos, se recomienda que simplemente reinstale el sistema/migre a un entorno limpio y luego comience desde el estadoCopia de seguridad de confianzaRecuperación:

Has encontrado el webshell y no puedes determinar la hora de la intrusión.
Inicio de sesión anormal múltiple de la cuenta/panel del servidor
El directorio principal se ha cambiado varias veces y se ha limpiado el tema plugin todavía escribe de nuevo

Contacte con nosotros
¿No puede leer el tutorial? Póngase en contacto con nosotros para obtener una respuesta gratuita. Ayuda gratuita para sitios personales y de pequeñas empresas	Servicio de atención al cliente WeChat
① Tel: 020-2206-9892
② QQ咨询：1025174874
(iii) Correo electrónico: info@361sale.com
④ Horario de trabajo: de lunes a viernes, de 9:30 a 18:30, días festivos libres