如果你发现 WordPress 插件被禁用了，而你确信没有人知道你的 FTP 或主机账号密码，那攻击者可能是通过其他方式实现的。

以下是一些常见的方法和应对方式：

1. 主题或插件存在漏洞

攻击者可能利用某个 有漏洞的插件或主题（比如远程代码执行、权限提升）来运行 PHP 代码，直接禁用插件，无需 FTP 访问权限。

许多 WordPress 插件或主题存在未修复的漏洞，比如：

• 远程代码执行（RCE）
• 本地文件包含（LFI）
• 任意文件上传
• SQL 注入（SQLi）

示例：
某插件允许用户上传图片，但没有验证文件类型，黑客上传 .php 木马文件，服务器直接执行恶意代码。

防护方法：

• 只使用知名、常更新的插件和主题。

• 定期更新所有组件。

• 安装 Wordfence 等安全插件。

攻击方式示例：
他们可能通过漏洞执行类似下面的代码：

解决方法：

• 删除未使用的插件和主题。
• 所有内容（插件、主题、WordPress 核心）都要保持最新。
• 安装并运行 Wordfence 或 Sucuri 这样的安全插件进行漏洞扫描。

---

🧑‍💻 2. 暴力破解或用户名枚举

黑客用自动脚本不停尝试用户名密码组合进行“撞库”攻击，尤其是当：

• 使用弱密码（如 admin/123456）
• 用户名可被公开枚举（如 ?author=1）
• 通过 XSS 漏洞窃取登录会话 Cookie。
• 利用某个插件漏洞获得管理员权限。

防护方法：

• 设置强密码。
• 启用双因素认证（2FA）。
• 限制登录尝试（如 Limit Login Attempts Reloaded 插件）。

解决方法：

• 检查数据库中的 wp_users 表是否有异常用户。
• 重设所有管理员密码。
• 启用 两步验证（2FA）。
• 检查 wp-content/uploads 或 wp-includes 中是否存在后门代码。

🗃️ 3. 通过 SQL 注入直接修改数据库

一些开发不规范的插件/主题存在 SQL 注入漏洞，黑客可直接读取或写入数据库。

可能后果：

• 修改管理员密码
• 插入新管理员账户
• 禁用所有插件

防护方法：

• 使用安全插件（如 Wordfence 检测注入点）
• 用 WAF（如 Cloudflare）拦截可疑 SQL 请求

如果你的网站存在 SQL 注入漏洞，攻击者可以：

• 直接连接你的数据库。
• 修改如 active_plugins 这样的配置项，从而禁用所有插件。

解决方法：

• 使用 WPScan 或 Wordfence 扫描你的网站。
• 查看访问日志和数据库日志。
• 启用 Web 应用防火墙（WAF），如 Cloudflare 或 Sucuri。

---

⚠️ 4. 通过上传的恶意文件注入代码

有些插件上传文件的功能存在漏洞，攻击者可以上传伪装成图片的 .php 木马。很多上传功能（头像、图片、简历）如果未验证文件类型，攻击者可以上传 .php 木马，然后远程执行代码。

防护方法：

• 限制上传类型为图片（如 jpg/png/gif）
• 将上传目录禁用 PHP 执行（在 .htaccess 中添加 php_flag engine off）

这些脚本可以：

• 禁用插件；
• 注入恶意代码。

解决方法：

• 检查 /wp-content/uploads/ 中是否存在 .php 文件或可疑文件。
• 限制文件夹权限，只对必要目录开放写入权限。

---

🏢 5. 主机服务商的问题或配置错误

虽然不常见，但也有可能：

• 主机服务商配置不当，或者是共享主机环境中其他客户的操作影响到了你；
• 有些主机提供商的自动病毒扫描会“误杀”插件，自动禁用它们。

解决方法：

• 联系你的主机服务商，要求查看操作日志。
• 如果你在使用共享主机，考虑使用 VPS 或独立主机以增强隔离性。

💾 6. 利用 XML-RPC 接口

WordPress 的 xmlrpc.php 接口本来用于远程发布文章，但攻击者常用它来：

• 暴力破解登录（利用 system.multicall 发送多次尝试）
• 发送 DDoS 请求

防护方法：

• 禁用 xmlrpc.php（如果你不使用 Jetpack 或远程发布）
• 用防火墙封锁相关请求

7. 跨站脚本攻击（XSS）

如果站点存在 XSS 漏洞，攻击者可以通过伪造脚本盗取你的登录 Cookie，从而伪装成你登录后台。

防护方法：

• 避免使用允许用户输入 HTML 的插件。
• 安装安全插件检测 XSS。
• 定期清理不受信用户提交的内容。

🕵️‍♂️ 8. 供应链攻击

某些插件或主题被开发者卖给了第三方，而新开发者可能加入了恶意代码或后门（历史上真实发生过）。

防护方法：

• 只从 WordPress 官方插件库 或信誉好的开发者处下载。
• 审查长期不用却仍启用的插件。

---

🧨 9. 服务器权限配置错误

如果你的服务器文件权限配置不当，黑客可能通过脚本跨目录访问其他文件或篡改系统文件。

防护方法：

• 目录权限设为 755，文件权限 644。
• 避免所有者设为 nobody。
• 使用 suEXEC/suPHP 强制每个网站以独立身份运行。

如何排查问题来源？

1. 查看访问日志（cPanel 或 VPS 的 /var/log/apache2/）：

   • 检查是否有异常的登录尝试或 POST 请求。

2. 查看错误日志：

   • 查看插件被禁用前是否有错误信息。

3. 检查 wp-config.php 和 .htaccess 文件：

   • 看是否被篡改。

4. 查看数据库中的插件启用状态：
   运行 SQL 语句：

   SELECT * FROM wp_options WHERE option_name = 'active_plugins';

   1	SELECT * FROM wp_options WHERE option_name = 'active_plugins';

看是否为空或被异常更改。

🔧 工具推荐

你可以使用以下工具来扫描或修复网站：

• Wordfence（WordPress 安全插件）
• WPScan CLI（命令行漏洞扫描）
• Sucuri Security

建议你立刻做的事情：

1. 备份网站（使用 UpdraftPlus 等插件）
2. 更新 WordPress、插件、主题
3. 更改后台密码并开启双因素认证
4. 安装安全插件（Wordfence、Sucuri）
5. 查看是否有未知管理员账户
6. 扫描文件夹是否有异常 .php 文件