先确认是不是真被挂马
网站出现跳转、弹窗广告、搜索结果被改，或者杀毒软件报警，先确认是网站文件被改还是服务器被入侵。看文件修改时间和新增的可疑文件，别一上来就全站删除重装。
先备份再隔离
发现异常先做一份完整备份留证，然后把站点切到维护模式或暂时下线，避免继续传播。备份要单独存放，别和原站放同一个目录，防止清理时一起被删。
定位后门文件
用安全插件或面板的文件扫描功能查可疑文件，重点看根目录、上传目录和主题插件目录里新出现的 PHP 文件。看文件内容里有没有 eval、base64 解码这类可疑代码。
清理并替换核心文件
确认后门后删除可疑文件，把 WordPress 核心、主题、插件从官方源重新下载覆盖。后台账号密码全部重置，密钥重新生成，避免攻击者用旧凭证再次进入。
查入口并加固
清理完要找到入侵入口，常见是过期插件、弱密码、上传漏洞或权限过宽。补上漏洞再观察一段时间，看有没有新的可疑文件生成。不查入口，清完还会再来。
配套测评和总结
被挂马多和程序漏洞、权限配置有关，服务器层防护也要跟上。选主机商时看是否提供基础安全防护和快照回滚。想对比各家主机商的安全能力，去zhujishang.com看教程和实测再下单。 清理完成后建议开启文件修改监控，核心文件被改动时能收到提醒。数据库里也可能被植入恶意代码，检查文章内容和站点设置里有没有异常链接与脚本，一并清理干净。
