如何检查网站或服务器是否被入侵：共享主机、WordPress 和 VPS 的逐步检查，以及发现问题后最先做什么

对象：在共享主机、WordPress 或 VPS 上运营网站的个人和小型企业，现在正担心「我是不是被黑了」。本指南带你自己检查自己的网站和服务器。内容依据 WordPress.org、WP-CLI、Google 搜索中心的官方文档、各命令的手册页、日本 IPA 和 JPCERT/CC 的资料以及 GDPR。不涉及攻击手法。

应该怀疑被入侵的迹象

符合以下任意一条，就继续进行下文按环境的检查。WordPress.org 的「FAQ My site was hacked」也列出了被黑的明显迹象，包括被搜索引擎列入黑名单、主机商停用网站，以及出现新用户被创建等未经授权的行为。

按环境检查

检查与你的环境相符的行。如果你在共享主机上运行 WordPress，前两行都适用。

共享主机

即使没有 SSH，控制面板通常也能检查以下三点（名称因主机商而异）。

• 在文件管理器中打开公开目录，按修改日期排序。留意在你没动过的日子里被修改的文件、名字毫无意义的 PHP 文件，以及 uploads 等图片目录中的 PHP 文件
• 下载访问日志和错误日志，查看对管理后台的请求（WordPress 的话是 /wp-login.php 和 /wp-admin/）来自哪里、发生在什么时候，以及对你不认识的网址的请求
• 如果能看到邮件发送数量或记录，查找你没发过的大量邮件

也要检查 .htaccess。WordPress.org 指出，无论感染类型如何，.htaccess 都是最常被修改和滥用的文件之一，并提到 index.php、header.php 和 footer.php 因为会影响每一次页面请求，是价值很高的目标。

WordPress

在仪表盘中检查两个地方。

• 「Users > All Users」（用户 > 所有用户）：有没有你没创建过的「Administrator」（管理员）角色的用户？
• 「Plugins > Installed Plugins」（插件 > 已安装的插件）：有没有你没安装过的插件？用同样的方法检查「Appearance > Themes」（外观 > 主题）

如果服务器上可以使用 WP-CLI（WordPress 官方的命令行工具），就可以自动把文件与官方发布版本进行比对。

# Check WordPress core files against WordPress.org checksums
wp core verify-checksums
# Also warn about non-WordPress files in the WordPress root directory
wp core verify-checksums --include-root
# Verify plugins distributed on WordPress.org
wp plugin verify-checksums --all
# List administrator accounts with their registration dates
wp user list --role=administrator

结果正常时会输出 Success: WordPress installation verifies against checksums.。不一致的文件会输出 Warning: File doesn't verify against checksum:，后面跟着文件名。插件校验是与 WordPress.org 的校验和比对，所以付费插件和自定义主题无法用这种方法检查。对于这些，请从开发商那里重新下载同一版本进行比较。

VPS（Linux）

在 VPS 上，要查找入侵者为了再次进入而留下的东西：公钥、定时任务、新用户和监听连接的程序。以下命令全部在你自己的服务器上、以管理员身份运行。

# SSH login records (the unit is ssh on Debian/Ubuntu, sshd on RHEL-family)
sudo journalctl -u ssh --since "2026-10-01"
# Recent logins (on Debian 13, use wtmpdb last instead; install the wtmpdb and libpam-wtmpdb packages)
last -a
# Each user's last login (on Debian 13, use lastlog2 instead; install the lastlog2 and libpam-lastlog2 packages)
lastlog
# SSH public keys: the current user's (other users: /home/*/.ssh/authorized_keys) and root's
cat ~/.ssh/authorized_keys
sudo cat /root/.ssh/authorized_keys
# Scheduled jobs (per user and system-wide)
crontab -l
sudo crontab -l -u root
sudo cat /etc/crontab
sudo ls -la /etc/cron.d
# Users, and the group with admin rights (wheel on RHEL-family)
getent passwd
getent group sudo
# Listening TCP ports and the programs behind them
sudo ss -tlnp
# Files in the web root whose contents changed in the last 7 days
sudo find /var/www -type f -mtime -7
# Have package files changed since they were installed?
sudo debsums -s      # Debian/Ubuntu (needs the debsums package)
sudo rpm -Va         # RHEL-family

结果的看法：

• 在 journalctl 的输出中，检查登录成功（Accepted）的来源 IP 里有没有不属于你的地址。如果什么都没显示，可能是单元名不同；用 systemctl list-units --type=service 确认 SSH 服务的名称
• 在 authorized_keys 中，查找你从没添加过的公钥。如何管理能登录服务器的密钥，请看 SSH 密钥的最小权限
• 在 cron 中，查找从陌生网址下载并执行内容的行
• 在 ss 的列表中，查找不是你启动的监听程序
• debsums -s 只报告有问题的文件；rpm -Va 会用大小（S）、摘要（5）、修改时间（T）等代码标出被修改的文件

Google Search Console

如果你的网站还没有在 Search Console 中注册，请先添加并验证所有权。

• 在「Security issues」（安全问题）报告中查看有没有列出问题。问题大致分为三类：「Hacked content」（被黑内容）、「Malware and unwanted software」（恶意软件和垃圾软件）、「Social engineering」（社会工程），通常附有示例网址。有些问题没有示例网址；Google 说明这并不表示没有页面受到影响
• 在 Google 上搜索 site:你的域名，查找你从没创建过的页面。Google 说明，这会列出你网站的页面，包括黑客可能添加的页面
• 把可疑页面放进「URL Inspection」（网址检查）工具，查看 Google 是怎么看到它的

术语补充：像上面这样、已经发生的入侵留下的痕迹，称为 IOC（失陷指标）。请看 什么是 IOC；关于在攻击仍在进行时根据行为发现攻击，请看 什么是 IOA。

发现问题后最先做什么

顺序一旦搞错，要么毁掉证据，要么在攻击者的入口仍然敞开的情况下恢复网站。请从上往下进行。

如果个人信息可能已经泄露

如果你作为企业处理个人信息，而联系表单提交内容或会员记录可能已经泄露，请确认你运营所在地的规定。

• 欧盟和英国（GDPR 第 33 条）：在知悉个人数据泄露后，应无不当延迟地、并在可行的情况下于 72 小时内通知监管机构，除非该泄露不太可能对个人的权利和自由造成风险。第 34 条规定了何时还必须告知受影响的个人
• 日本：个人信息保护委员会（PPC）列出了四类需要报告的情形——敏感信息、可能造成财产损失、怀疑出于不当目的，以及超过 1,000 人。非法访问造成的泄露被作为「不当目的」类的例子。初步报告须在发现后 3 至 5 天内提交，最终报告须在 30 天内（「不当目的」类为 60 天内）提交，并且还必须通知受影响的个人
• 其他地区：请确认本国数据保护机构的规定

可以求助的地方

出处（官方）

• WordPress.org：FAQ My site was hacked — wordpress.org
• WordPress.org：Administration Screens — wordpress.org
• WP-CLI：wp core verify-checksums — developer.wordpress.org
• WP-CLI：wp plugin verify-checksums — developer.wordpress.org
• WP-CLI：wp user list — developer.wordpress.org
• Google：Security issues report（Search Console 帮助）— support.google.com
• Google：How do I know if my site was hacked?（web.dev）— web.dev
• Google：Fix the cloaked keywords and links hack（web.dev）— web.dev
• Google 搜索中心博客：Detect and get rid of unwanted sneaky mobile redirects（2015 年 10 月）— developers.google.com
• Google 搜索帮助：Report a problem with Google Search（关于「This site may be hacked」标签）— support.google.com
• Debian 手册页：journalctl(1)、last(1)、lastlog(8)、sshd(8)、crontab(1)、cron(8)、ss(8)、find(1)、debsums(1) — manpages.debian.org
• RPM：rpm(8)（--verify 输出的读法）— rpm.org
• Debian 13（trixie）发行说明：last、lastb 和 lastlog 命令已被替换 — debian.org
• GDPR（Regulation (EU) 2016/679）第 33 条和第 34 条 — eur-lex.europa.eu
• 日本个人信息保护委员会：泄露等事态的报告与本人通知义务化（日文）— ppc.go.jp
• 日本个人信息保护委员会：发生泄露等事态时的应对（日文）— ppc.go.jp
• JPCERT/CC：事件响应委托（日文）— jpcert.or.jp
• IPA：计算机病毒与非法访问的申报（日文）— ipa.go.jp

接下来阅读

• 个人账户：如何检查账户是否被他人登录
• 主机商自身被入侵时：虚拟主机服务商被入侵时客户该做什么（为自己的设置无法防止的情况做准备，英文）
• 检查文件放在哪里：别把密钥放进公开目录 / 在共享主机上不让 .env 被公开
• WordPress：WordPress 安全——生产环境加固参考 / 常见的入口：文件上传漏洞（英文）
• 术语：什么是 IOC？ / 什么是 IOA？ / 什么是后门？（英文） / 什么是恶意软件？
• 恢复：备份要点