如何確認網站或伺服器是否被入侵：共用虛擬主機、WordPress 與 VPS 的逐步檢查，以及發現異常時首先要做的事

適合誰閱讀：在共用虛擬主機、WordPress 或 VPS 上經營網站，現在正在想「我是不是被駭了？」的個人和小型企業。本指南帶你自己檢查自己的網站和伺服器。內容依據 WordPress.org、WP-CLI、Google Search Central 的官方文件、各指令的手冊頁、日本 IPA 與 JPCERT/CC 的資料，以及 GDPR 撰寫。不涵蓋攻擊手法。

應該懷疑遭入侵的徵兆

符合以下任何一項時，請繼續進行下方依環境的檢查。WordPress.org 的「FAQ My site was hacked」也列出了明確的遭駭徵兆，包括被搜尋引擎列入封鎖清單、主機業者停用網站，以及建立新使用者等未經授權的行為。

依環境檢查

請檢查符合你環境的那幾列。如果你在共用虛擬主機上執行 WordPress，前兩列都適用。

共用虛擬主機

即使沒有 SSH，控制台通常也能讓你檢查以下三件事（名稱依主機業者而異）。

• 在檔案管理員中開啟公開資料夾，依修改日期排序。留意在你沒動過的日子被變更的檔案、名稱沒有意義的 PHP 檔案，以及放在 uploads 等圖片資料夾中的 PHP 檔案
• 下載存取記錄檔和錯誤記錄檔，檢查對管理區的請求（WordPress 是 /wp-login.php 和 /wp-admin/）來自哪裡、在什麼時間，以及有沒有對你不認得的網址的請求
• 如果看得到郵件寄送數量或紀錄，找找有沒有你沒寄出的大量郵件

也請檢查 .htaccess。WordPress.org 指出，不論感染類型為何，.htaccess 都是最常被修改和濫用的檔案之一，並說明 index.php、header.php 和 footer.php 會影響每一次頁面請求，因此是價值很高的目標。

WordPress

在控制台中檢查兩個地方。

• 「Users」（使用者）>「All Users」（全部使用者）：有沒有你沒建立、角色為「Administrator」（管理員）的人？
• 「Plugins」（外掛）>「Installed Plugins」（已安裝的外掛）：有沒有你沒安裝的外掛？「Appearance」（外觀）>「Themes」（佈景主題）也用同樣方式檢查

如果伺服器上可以使用 WP-CLI（WordPress 的官方命令列工具），就能自動把檔案與官方發行版比對。

# Check WordPress core files against WordPress.org checksums
wp core verify-checksums
# Also warn about non-WordPress files in the WordPress root directory
wp core verify-checksums --include-root
# Verify plugins distributed on WordPress.org
wp plugin verify-checksums --all
# List administrator accounts with their registration dates
wp user list --role=administrator

結果沒問題時會顯示 Success: WordPress installation verifies against checksums.。不一致的檔案會顯示 Warning: File doesn't verify against checksum:，後面接著檔案名稱。外掛驗證是與 WordPress.org 的校驗和比對，所以付費外掛和自訂佈景主題無法用這種方式檢查。這些請向開發商重新下載同一版本來比較。

VPS（Linux）

在 VPS 上，要找的是入侵者為了再次進來而留下的東西：公開金鑰、排程工作、新的使用者，以及在監聽連線的程式。以下全部請以管理員身分在你自己的伺服器上執行。

# SSH login records (the unit is ssh on Debian/Ubuntu, sshd on RHEL-family)
sudo journalctl -u ssh --since "2026-10-01"
# Recent logins (on Debian 13, use wtmpdb last instead; install the wtmpdb and libpam-wtmpdb packages)
last -a
# Each user's last login (on Debian 13, use lastlog2 instead; install the lastlog2 and libpam-lastlog2 packages)
lastlog
# SSH public keys: the current user's (other users: /home/*/.ssh/authorized_keys) and root's
cat ~/.ssh/authorized_keys
sudo cat /root/.ssh/authorized_keys
# Scheduled jobs (per user and system-wide)
crontab -l
sudo crontab -l -u root
sudo cat /etc/crontab
sudo ls -la /etc/cron.d
# Users, and the group with admin rights (wheel on RHEL-family)
getent passwd
getent group sudo
# Listening TCP ports and the programs behind them
sudo ss -tlnp
# Files in the web root whose contents changed in the last 7 days
sudo find /var/www -type f -mtime -7
# Have package files changed since they were installed?
sudo debsums -s      # Debian/Ubuntu (needs the debsums package)
sudo rpm -Va         # RHEL-family

如何解讀結果：

• 在 journalctl 的輸出中，檢查成功登入（Accepted）的來源 IP 是否有不是你的位址。如果什麼都沒顯示，單元名稱可能不同；請用 systemctl list-units --type=service 確認 SSH 服務的名稱
• 在 authorized_keys 中，找找有沒有你從沒加過的公開金鑰。管理能連到伺服器的金鑰，請參考 SSH 金鑰的最小權限
• 在 cron 中，找找有沒有從不明網址下載並執行東西的行
• 在 ss 的列表中，找找有沒有不是你啟動的程式在監聽
• debsums -s 只會列出有問題的檔案；rpm -Va 會用大小（S）、摘要（5）和修改時間（T）等代碼標示被變更的檔案

Google Search Console

如果你的網站還沒有在 Search Console 註冊，請先新增網站並驗證擁有權。

• 在安全性問題報告中，看看有沒有列出任何問題。問題大致分為三類：遭入侵的內容、惡意軟體或垃圾軟體、社交工程，通常會附上範例網址。有些問題沒有範例網址；Google 表示，這並不代表沒有頁面受到影響
• 在 Google 搜尋 site:你的網域，找找有沒有你從沒建立過的頁面。Google 表示，這會列出你網站的頁面，包括駭客可能新增的頁面
• 把可疑的頁面放進網址檢查工具，看看 Google 怎麼看這些頁面

補充術語：像上面這些已經發生的入侵所留下的痕跡，稱為 IOC（入侵指標）。請參考 什麼是 IOC；若要在攻擊進行中就從行為發現它，請參考 什麼是 IOA。

發現異常時首先要做的事

順序弄錯的話，不是毀掉證據，就是在攻擊者的入侵途徑還開著的情況下恢復網站。請從上往下進行。

如果個人資料可能已經外洩

如果你以事業身分處理個人資料，而聯絡表單的內容或會員資料可能已經外洩，請確認你營運所在地的規定。

• 歐盟與英國（GDPR 第 33 條）：在知悉個人資料外洩後，應無不當延遲地通知監管機關，並在可行的情況下於 72 小時內通知，除非外洩不太可能對個人的權利與自由造成風險。第 34 條規定了何時也必須通知受影響的人
• 日本：個人資訊保護委員會列出四種應通報的類型：敏感資料、可能造成財產損害、懷疑有不當目的，以及超過 1,000 人。未經授權存取造成的外洩，被列為不當目的類型的例子。速報須在發現後 3 至 5 天內提出，確報須在 30 天內提出（不當目的類型為 60 天），並且必須通知受影響的人
• 其他地區：請確認你所在國家的資料保護機關的規定

可以求助的地方

出處（官方）

• WordPress.org：FAQ My site was hacked — wordpress.org
• WordPress.org：Administration Screens — wordpress.org
• WP-CLI：wp core verify-checksums — developer.wordpress.org
• WP-CLI：wp plugin verify-checksums — developer.wordpress.org
• WP-CLI：wp user list — developer.wordpress.org
• Google：Security issues report（Search Console 說明）— support.google.com
• Google：How do I know if my site was hacked?（web.dev）— web.dev
• Google：Fix the cloaked keywords and links hack（web.dev）— web.dev
• Google Search Central 部落格：Detect and get rid of unwanted sneaky mobile redirects（2015 年 10 月）— developers.google.com
• Google 搜尋說明：Report a problem with Google Search（關於「This site may be hacked」標示）— support.google.com
• Debian 手冊頁：journalctl(1)、last(1)、lastlog(8)、sshd(8)、crontab(1)、cron(8)、ss(8)、find(1)、debsums(1) — manpages.debian.org
• RPM：rpm(8)（解讀 --verify 的輸出）— rpm.org
• Debian 13（trixie）發行說明：last、lastb 與 lastlog 指令已被取代 — debian.org
• GDPR（Regulation (EU) 2016/679）第 33 條與第 34 條 — eur-lex.europa.eu
• 日本個人資訊保護委員會：外洩等事態的通報與對本人的通知義務化（日文）— ppc.go.jp
• 日本個人資訊保護委員會：發生外洩等事態時的應對（日文）— ppc.go.jp
• JPCERT/CC：事件應變請求（日文）— jpcert.or.jp
• IPA：電腦病毒與未經授權存取的通報（日文）— ipa.go.jp

接著讀

• 個人帳號：如何確認帳號是否遭人未經授權登入
• 當主機業者本身遭入侵時：網頁主機業者遭入侵時客戶該做的事（英文，為自己的設定無法防範的情況做準備）
• 確認檔案放在哪裡：你是否把機密檔案留在公開目錄中？ / 在共用虛擬主機上不讓 .env 被公開
• WordPress：WordPress 安全：正式環境加固參考 / 常見的入侵途徑：檔案上傳漏洞（英文）
• 術語：什麼是 IOC？ / 什麼是 IOA？ / 什麼是後門？（英文） / 什麼是惡意軟體？
• 復原：備份基礎