php - .php 文件被替换为 .php.suspected - Wordpress AWS

Question

最近我的 wordpress 网站被黑了，我通过重新安装 wp-content 文件夹的备份版本并在网站中运行和修复 wordfence 插件解决了这个问题。但是我的网站显示 500 错误，当我发现问题出在 aws-autoloader.php 文件时。此 aws-autoloader.php 被替换为 aws-autoloader.php 可疑文件，因为该文件未加载该站点：

/var/www/html/wp-content/plugins/amazon-web-services/vendor/aws/aws-autoloader.php

该文件被重命名为 aws-autoloader.php.suspected。

有什么建议或意见来解决这个问题？

标签： phpwordpressserver-side-attacks

Answer 1

我认为这是有人在您的网站上运行恶意软件清理程序的结果。

我会在你的 WordPress 安装中的某个地方寻找一个 web shell。我希望有一种简单的方法来查找 web shell，但没有。如果您有权访问 Apache 的access_log文件，请查看在文件名更改时调用了哪些 URL。用文本编辑器查看这些文件，看看是否存在一些杂散的 PHP。我得到的恶意软件清理程序也会将大多数 web shell 安装标记为“.suspected”，因此它们可能以独特的方式安装。