## 事情是这么开始的

周六晚上十点多，我想上博客看看，页面转了半天，最后浏览器甩给我一个"无法访问此网站"。

第一反应是服务器挂了。我这台机器是腾讯云最便宜的款，1核2G（实际可用内存1.9G），跑着 WordPress、MySQL，还塞了俩 Docker 容器。以前也偶尔卡过，所以我没太慌，用 AI 助手连 SSH 上去看看。

结果 SSH 也连不上。Ping 能通，端口全开，就是所有服务都没反应。这种"人活着但不会说话"的状态折腾了半个多小时，网站自己又恢复了。

本来以为这事就这么过去了。真正的噩梦是后来看腾讯云控制台的时候发现的：主机安全页面挂着三条"严重"告警，说我网站目录下有三个 WebShell 木马文件。我点隔离，刷新，它们又出来了。再隔离，再刷新，还在。

那一刻我头皮是真的麻了。

## 黑客在我网站上住了八天

后面几天我一直在翻日志，把整个攻击过程拼了出来。时间线大概是这样：

**8月7日**，攻击者第一次摸进了我的后台。怎么进来的还不完全确定，大概率是某个插件的老漏洞，或者密码被撞库撞出来了。

**8月14日凌晨5点到8点**，一个新加坡的 IP 对我的登录页发起了 13000 多次请求，纯暴力破解。光那天一个 IP 就占了我全天请求量的 85%。我的小服务器哪见过这阵仗，内存当场被干爆。

**8月14日上午9点40分**，攻击者在数据库里悄悄创建了一个管理员账号，用户名是一串乱码，邮箱后缀叫 wp2shell.invalid。这个工具就叫 wp2shell，专门黑 WordPress 的，连名字都懒得藏。

**8月14日下午5点多**，一个印尼 IP 用这个工具登录后台，删用户、改插件、动我的 wp-config.php，然后把三个木马文件种了进去。一个多小时后，还有两个腾讯云机房的 IP 过来访问了其中一个木马，确认后门能用。人家这是在验收。

最阴的是它的保活机制。你以为删掉文件就完事了？天真。攻击者把木马文件的 base64 编码存在了我的数据库里，然后在我主题的 functions.php 和 WordPress 核心文件里各插了一行代码。这两行代码的意思是：每次网站被人访问，就检查一下三个木马在不在，不在就自动从数据库里恢复一份出来，顺便把文件的修改时间改成很久以前，防止被发现。

所以我隔离一百次都没用，人家有个全自动复活系统。

## 我是怎么把它清干净的

清理过程比想象中麻烦，总共干了这么几件事：

先删掉那三个木马文件，然后进数据库，把恶意账号删了，把那几个存着木马编码的选项也删了。再把 functions.php 和 default-filters.php 里被插入的代码抠掉。这两个文件都先备份了再动手，改坏了就是全站瘫痪。

删完之后木马还是复活了一次，差点以为见鬼了。后来想起来是 OPcache，PHP 把旧代码缓存在内存里了，重启一下 PHP-FPM 才算真正清干净。

然后是封攻击 IP。这里我干了一件蠢事，值得单独拿出来说。

我把五个"攻击 IP"全加进了防火墙黑名单，加完之后，服务器瞬间从我的世界里消失了。网站打不开，SSH 连不上，连 Ping 都不通。

一查才知道，那五个 IP 里有一个是湖北荆门的移动宽带。而我家就在湖北荆门，用的就是移动宽带。**我把自己的出口 IP 当成黑客封了。**那个 IP 在 8月7日的日志里确实进过我的后台，但它不是黑客，是我自己，当时我正在后台写文章。

顺藤摸瓜我又怀疑另外两个腾讯云的 IP 是不是我开 VPN 时不小心留下的。这个也能查：我翻了本地浏览器的访问记录，8月14日那天我只在上午十点半和晚上九点二十访问过自己的博客，18:18 分的时候我的浏览器干干净净，历史记录里更是从来没出现过木马文件的地址。

所以结论很清楚：那两个腾讯云 IP 是攻击者挂了代理来验收木马的，不是我。封得没错，继续封着。

## 几点想法

这次损失不算大。文章都在，数据库没被删，也没发现数据被偷的痕迹，攻击者更像是把我服务器当成了一个可以随便进出的据点。但有几件事让我后怕：

**小内存服务器真的是原罪。** 2G 内存跑 WordPress 加 Docker，平时就绷得紧紧的，攻击一来直接击穿。而且内存爆了之后 swap 写满不释放，哪怕攻击停了，服务器还是带着伤，第二天低负载也照样崩。我已经在考虑升配置了。

**告警不能只看不动。** 腾讯云其实早就报了 WebShell，我一直没当回事，觉得隔离一下就行。要是那天认真点，早八天就能发现问题。

**"删不掉的病毒"背后一定有自动复活的机制。** 文件层面的木马不可怕，可怕的是数据库里、定时任务里、核心文件里藏着的触发器。清一个木马要连根拔，不然就是打地鼠。

**封 IP 之前先看看自己的出口 IP 是什么。** 血泪教训，不解释了。

最后留个记录：木马清干净了，恶意账号删了，四个攻击 IP 封了也持久化了，网站目前运行正常。密码全部换了一遍，登录入口也准备加上限制。

如果你也自己搭博客，花十分钟检查一下你的告警页面吧。有些东西可能已经在你的服务器里住很久了。

周六晚上十点多，我想上博客看看，页面转了半天，最后浏览器甩给我一个"无法访问此网站"。

我的网站被人黑了整整八天，我居然一点都没察觉

安全

运维

后端

一次周末深夜，我的腾讯云服务器遭暴力破解，黑客植入WebShell木马并建立自动复活机制，藏身八天。通过日志还原攻击过程，清理木马、恶意账号和恶意代码，并排查封IP失误。文章分享小内存服务器风险、告警忽视的教训及清理经验，提醒自建博客者及时检查安全告警。

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

我的网站被人黑了整整八天，我居然一点都没察觉-腾讯云开发者社区-腾讯云

我的网站被人黑了整整八天，我居然一点都没察觉

我的网站被人黑了整整八天，我居然一点都没察觉

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐