从搜索结果点进来跳到博彩站，直接在地址栏输入域名却正常。这种按来源判断的跳转，是典型的搜索引擎劫持木马。
先按时间找可疑文件
find /var/www/html -type f -mtime -7 \ -name "*.php" | head -n 50 grep -rln "base64_decode" /var/www/html | head
最近被修改的 php 文件、以及大量使用编码函数的文件，是最先要看的目标。主题目录和插件目录是重灾区，尤其是长期不更新的插件。
重点检查这几处
- index.php 开头的几行，常见被插入了条件跳转
- .htaccess 或 Nginx 配置里被加了 UA 判断
- 数据库 wp_posts 表里的文章正文被注入脚本
- wp-content/uploads 里出现的 php 文件，正常不会有
清理顺序
先备份现场再做清理，然后恢复正常文件、删除后门、修改所有管理员密码和数据库密码、更新主题和插件。数据库里的注入内容可以用搜索替换批量清掉。
只删文件不改密码，通常几天后又被写回来。清理完检查访问日志里可疑的 POST 请求，找到入口才好彻底封堵。
还有一种隐蔽手法是把跳转写进数据库的文章正文，前台直接访问文章页看不出来，只有带搜索引擎来源时才触发。批量搜索文章表里的脚本标签和跳转函数，能一次清干净。