博客三个月连续被黑三次！WP后门木马排查与安全加固记录
内容提要
博客三个月内三次被黑，攻击者均新建管理员用户并清空主题设置。排查发现插件目录存在木马、首页及wp_options表被注入恶意脚本，主题还引用了有投毒历史的cdn.staticfile.org。作者清理全部用户和数据库冗余信息，将JS、CSS、字体改为本地资源，更换新服务器部署最新Nginx，并配置EdgeOne缓存规则，禁止缓存后台、PHP及带Cookie请求。
延伸解读
重复入侵的根源：后门与第三方资源
作者三次被黑均出现新建管理员用户和主题设置被清空，说明攻击者已植入持久化后门。排查发现插件目录有木马、首页和wp_options表被注入恶意脚本，且主题引用了有投毒历史的cdn.staticfile.org。这提示仅升级WordPress或禁用插件不足以清除后门，必须同时检查文件、数据库和外部资源引用。
清理与加固的实际操作顺序
作者先清理全部注册用户和数据库冗余信息，再将JS、CSS、字体改为本地资源，然后换新服务器部署最新Nginx。这一顺序值得参考：先清除攻击者可能利用的账户和残留数据，再切断第三方资源引入风险，最后通过新环境重建减少遗留后门。但文章未说明是否对全部文件做完整性校验，读者需注意补充。
EdgeOne缓存规则的安全考量
作者配置的缓存规则对图片、CSS/JS等静态资源设置较长缓存，对首页、分类等页面设置短缓存，同时明确禁止缓存wp-admin、wp-json、wp-login.php、xmlrpc.php、wp-cron.php、PHP/JSON文件以及带Cookie的请求。这能降低后台和动态接口被缓存泄露的风险，但规则本身不修复漏洞，仍需配合后门清理。
未决问题与后续观察点
文章结尾作者表示尚未确定后门具体来源，全站静态化做到一半因再次被黑而搁置，并计划继续使用WordPress。这意味着当前加固可能仍未根除入侵途径。读者应关注插件和主题的持续审计、文件完整性监控以及日志分析，而非仅依赖一次清理和缓存规则。
Q&A
博客三个月内被黑三次，攻击者每次入侵后都做了什么？
攻击者每次都会新建一个管理员用户，并清空主题的所有设置。第一次还发布了2篇文章，第二次和第三次同样新建管理员用户并清空主题设置。
作者在排查时发现了哪些后门或恶意代码？
在插件文件目录发现可疑插件文件，经AI确认是木马；博客首页被注入恶意脚本，该脚本会利用管理员登录状态创建管理员用户；wp_options表中也被注入恶意脚本；主题还引用了有投毒历史的域名cdn.staticfile.org的前端加速资源。
cdn.staticfile.org 这个域名有什么风险？为什么作者建议不要用？
该域名有投毒黑历史，已经不属于七牛云，多次被爆有后门。作者的主题曾引用它做前端加速，检索代码后发现确实存在，因此建议使用该域名的用户及时处理掉。
作者采取了哪些具体措施来清理和加固博客？
第一步清理全部用户信息（共29733个注册用户）；第二步让AI清理数据库大量无用信息；第三步将主题引用的所有JS/CSS/字体文件改为本地服务器部署，不再引用三方JS；第四步换新服务器重新部署博客，安装最新版Nginx；第五步配置EdgeOne缓存规则。
EdgeOne的缓存规则中，哪些请求被设置为不缓存？
不缓存wp-admin、wp-json、wp-login.php、xmlrpc.php、wp-cron.php、wp-comments-post.php等路径；不缓存php和json文件扩展名；不缓存带有cookie请求头的请求。
作者对博客全站静态化的计划是什么？目前进展如何？
作者原本计划做全站静态化，刚做了一半，博客又黑了进来，因此暂时搁置，想先查清后门来源。后面还继续使用WordPress试一试。
