最近在帮一个Hostease的客户清理被黑的WordPress网站的过程中发现了两个比较隐蔽的恶意文件这两个文件的存在让攻击者在木马被清除的情况下依然可以拥有网站的管理权限。这种“持久化后门”是目前 WordPress 攻击中非常常见的一种手法。如果你的网站总是反复被入侵或者删除了异常管理员却又自动恢复很可能已经中招。这篇文章将完整复盘这次排查过程并分享具体技术细节与清理思路。问题描述在服务器文件系统中我们发现两个高度可疑的文件./wp-content/plugins/DebugMaster/DebugMaster.php这个插件目录伪装成一个“调试工具插件”名称叫表面上看起来像是开发辅助插件但内部代码经过混淆和加密处理明显存在恶意行为。./wp-user.php这个文件放在网站根目录名字刻意模仿 WordPress 核心文件。它逻辑简单但破坏力极强。这两个文件在做什么它们的核心目标只有一个自动创建并维持一个隐藏的管理员账户即使站长删除该账户它也会重新创建。这是一种典型的“权限持久化攻击”。恶意代码深度分析DebugMaster Pro —— 隐蔽型后门插件这款插件伪装成合法的开发者工具它会自动自动创建管理员账号解码后这段代码强制 WordPress 创建一个名为 help 的新用户并赋予其管理员角色。如果该用户已存在脚本会确保恢复其管理员权限。也就是说只要插件存在攻击者永远拥有管理员身份。为保持隐蔽这个插件通过 WordPress 钩子机制从插件列表中隐藏自己并且从用户查询中过滤掉 help 管理员账户因此在后台你根本看不到异常插件或异常用户这就是它极具迷惑性的地方。解码后向 C2 服务器发送管理员信息更危险的是它会把新创建管理员的信息打包成 JSON → Base64 编码 → 发送到远程服务器hxxps://kickstar-xbloom[.]info/collect.php解码后插件还会向访客页面注入外部恶意 JS排除管理员或白名单 IP记录管理员 IP 地址。通常用于SEO 垃圾页面博彩跳转恶意广告定向攻击wp-user.php —— 简单粗暴的后门脚本这个文件逻辑更加直接如果发现 help 用户存在删除该用户重新创建 help 管理员账户设置攻击者指定密码如果不存在直接创建 help 管理员账户。也就是说删除它一次它下次访问页面就给你再创建一次。这是一种极端强制型持久化后门。如何判断网站是否中招你可以检查以下“入侵特征”1.是否存在以下文件./wp-content/plugins/DebugMaster/./wp-user.php2.是否存在异常管理员账户删除后又自动恢复看不到插件却能创建管理员。3.是否有异常外联请求服务器日志中是否有访问kickstar-xbloom.info的记录。这种木马的危害这类后门具备三层持久机制1.自动创建管理员2.自动恢复管理员权限3.将密码回传攻击者服务器攻击者可以1.注入赌博/SEO垃圾页面2.植入跳转代码3.窃取客户数据4.利用服务器做二次攻击如果服务器环境安全策略不足比如权限设置不当、SSH弱口令还可能进一步扩散。正确清理步骤建议在服务器层面操作不建议只在后台操作请通过 SSH 进行清理。1️.删除恶意文件rm -rf wp-content/plugins/DebugMasterrm -f wp-user.php2️.审核管理员账户删除异常管账户如本文提到的help。3️.全面修改密码主要是WordPress 后台、数据库、FTP、SSH、主机控制面板的密码。4️.更新所有程序更新WordPress Core、插件和主题的最新版本。5️.检查服务器外联查看/var/log/messages/var/log/httpd/access_log是否存在异常外部连接。为什么很多站长反复被黑在实际运维中我们发现很多 WordPress 被入侵的服务器存在以下问题1.使用弱口令2.未关闭 XML-RPC3.未启用 WAF4.服务器长期不更新5.使用共享主机且无隔离机制如果底层服务器安全策略不足即便清理干净也可能再次被入侵。总结这次的两个后门文件展示了攻击者如何通过“插件伪装 根目录脚本”双重机制实现持久控制。DebugMaster 负责隐蔽渗透与信息外传wp-user.php 负责强制恢复管理员二者结合形成了极难清除的持久入口。清理不仅仅是删除文件更重要的是审核权限、重置登录信息、加固服务器并进行定期安全扫描。如果你的网站出现以下情况1.管理员账户异常恢复2.搜索结果被篡改3.页面出现博彩跳转4.删除木马后再次生成建议尽快进行服务器级排查。服务器安全是网站安全的第一道防线。如果你正在使用 VPS 或独立服务器部署 WordPress建议选择具备SSH 管理权限、防火墙配置能力、定期备份机制和安全加固支持的服务器环境进行部署。