备份当前数据库

从挂马到秒开：一个WordPress运维老兵的实战排雷手记

凌晨三点,手机警报声把我从沙发上炸起来，客户官网首页被植入赌博跳转代码，Google Safe Browsing 直接标红，我灌了口冷咖啡，手指在键盘上敲出第一行命令：wp core verify-checksums。

这不是我第一次半夜爬起来处理WP事故,也不会是最后一次，今天就把这些年在生产环境里踩过的坑、验证过的解法，按场景拆给你看，每一条都是照着操作就能见效的实战清单。

网站加载慢得像蜗牛爬

备份当前数据库

别急着买服务器,先用命令行定位瓶颈，SSH登录后执行：

wp db query "SHOW STATUS LIKE 'Threads_connected';"
wp plugin list --status=active --fields=name,version

前者看数据库连接数（超过80就要查慢查询），后者看插件数量（超过20个就该瘦身了）。

核心排查三板斧：

查慢查询日志：在 wp-config.php 加 define('SAVEQUERIES', true);，然后刷新首页，在页面底部看“Queries took X seconds”，找出耗时超过0.05秒的SQL，用 wp db query "EXPLAIN SELECT ..." 分析索引。
测首屏时间：用 curl -o /dev/null -s -w 'Total: %{time_total}s\n' https://你的域名，如果超过2秒，优先怀疑图片未压缩和WebP未启用。
开对象缓存：推荐 Redis Object Cache 插件，服务器装好Redis后，执行 wp redis enable，命中率低于80%就检查过期时间设置。

缓存插件怎么选？

记住这个原则：页面缓存用LiteSpeed（仅限LiteSpeed服务器）或WP Super Cache，对象缓存用Redis，CDN用Cloudflare。

我常用的组合拳：

LiteSpeed Cache：如果你用LiteSpeed环境，这插件一个顶仨，开启“页面优化-JS/CSS延迟加载”，把“最大图片宽度”设成1920px。
WP Rocket：付费但省心，配置时只勾选“延迟JavaScript执行”和“移除未使用的CSS”，别开“数据库清理”里的定时任务，那会频繁锁表。

避坑警告：缓存插件千万别同时开两个，否则会出现“花屏”和“样式丢失”，如果出现，执行 wp cache flush 然后停用一个。

被暴力破解登录

看日志就知道多惨：

grep "Failed password" /var/log/auth.log | wc -l

一天上万条是家常便饭。三招锁死攻击者：

禁用XML-RPC：在 .htaccess 加 <Files xmlrpc.php>Order Deny,AllowDeny from all</Files>，或者用插件 Disable XML-RPC Pingback。
强制使用WordPress应用密码：在 wp-config.php 加 define('WP_AUTO_UPDATE_CORE', true); 和 define('DISALLOW_FILE_EDIT', true);
安装 Limit Login Attempts Reloaded，设置“10次尝试后锁定30分钟”，同时用 wp user list --role=administrator 检查是否有陌生管理员账号，有就直接 wp user delete 用户名 --yes。

被挂马后的清理恢复

别用网上那些扫描插件瞎猜。最快的方法是重新部署干净代码：

# 下载核心文件覆盖
wp core download --force --locale=zh_CN
# 删除非核心的可疑文件（找到最近修改时间可疑的php文件）
find . -name "*.php" -mtime -3 -exec ls -la {} \;

重点检查 wp-content/uploads 目录，攻击者常把木马命名为 wp-load-1.php 或 avatar-2023.php，清理后，用 wp option get siteurl 确认站点URL没被篡改，最后安装 Wordfence 开启“实时流量”和“文件变化预警”，扫描频率设为“每4小时”。

垃圾评论批量处理

别手动删,用命令行横扫：

# 删除所有状态为spam的评论
wp comment delete $(wp comment list --status=spam --format=ids) --force
# 禁用Pingback和Trackback
wp option update default_pingback_flag 0

推荐 Antispam Bee，配置时勾选“检查IP黑名单”和“要求评论者填写姓名和邮箱”，把“垃圾评论保留天数”设为7天，方便误判恢复。

HTTPS证书部署

别用那些“一键SSL”插件，直接用 acme.sh 自动续期：

apt install socat
curl https://get.acme.sh | sh
# 颁发证书（假设域名是 example.com，网站路径 /var/www/html）
~/.acme.sh/acme.sh --issue -d example.com -w /var/www/html --keylength ec-256
# 配置自动续期并更新到WP
~/.acme.sh/acme.sh --install-cert -d example.com --ecc \
  --key-file /etc/ssl/private/example.key \
  --fullchain-file /etc/ssl/certs/example.pem \
  --reloadcmd "systemctl reload apache2"

然后在 wp-config.php 加两行强制跳转：

define('FORCE_SSL_ADMIN', true);
if ($_SERVER['HTTP_X_FORWARDED_PROTO'] == 'https') $_SERVER['HTTPS']='on';

处理完挂马那天早上,我看着站点3秒内加载完成，登录页被锁得死死的，邮箱里躺着30个垃圾评论自动删除通知，WordPress就是这样，你给它一个严格的运维纪律，它就能还你一个安静的凌晨。

下次再听到报警,先别慌，执行 wp core update-db 看看是不是数据库迁移问题，再 wp plugin list --status=inactive 把没用的插件全删了。最快的优化永远是删掉不必要的东西——插件如此，代码如此，运维日志里的冗余命令也一样。

正文

备份当前数据库

从挂马到秒开：一个WordPress运维老兵的实战排雷手记

相关阅读

发表评论取消回复

目录[+]