php - .php 文件被替换为 .php.suspected - Wordpress AWS

Question

最近我的 wordpress 网站被黑了，我通过重新安装 wp-content 文件夹的备份版本并在网站中运行和修复 wordfence 插件来解决这个问题。但是我的网站显示错误 500，当我发现问题出在 aws-autoloader.php 文件时。此 aws-autoloader.php 已替换为 aws-autoloader.php 可疑文件，因此站点未加载:

/var/www/html/wp-content/plugins/amazon-web-services/vendor/aws/aws-autoloader.php

文件正在重命名为 aws-autoloader.php.suspected。

有什么解决这个问题的建议或意见吗？

Answer 1

我认为这是有人运行 vigilante malware cleaner 的结果在您的网站上。

我会在您的 WordPress 安装中的某处寻找网络外壳。我希望有一种简单的方法来查找网络外壳，但没有。如果您有权访问 Apache 的 access_log 文件，请查看在文件名更改时调用了哪些 URL。使用文本编辑器查看这些文件，看看是否存在一些杂散的 PHP。我得到的 malware malware cleaner 还会将大多数 web shell 安装标记为“.suspected”，因此它们可能以独特的方式安装。