蓝易云CDN：云服务商曝光黑客利用 DollyWay 恶意软件劫持 WordPress 站点

WordPress 网站明明能够正常访问，服务器也没有明显异常，用户却被突然跳转到陌生页面。这种情况不一定是网站配置错误，也可能意味着网站已经遭到恶意代码控制。

云服务商 GoDaddy 的安全研究团队曾披露一场持续多年的 WordPress 攻击行动。攻击者利用名为 DollyWay 的恶意软件植入网站、劫持正常访问流量，并通过第三方流量分发网络获取收益。

研究显示，该攻击行动可以追溯至 2016 年。截至 2025 年 3 月披露时，相关攻击在过去八年累计影响超过 2 万个网站。

🔍 DollyWay 是如何控制 WordPress 网站的？

DollyWay 并不是普通的网页跳转脚本，而是一套具备持续感染、远程控制和流量劫持能力的恶意程序。

攻击者通常利用存在安全漏洞的 WordPress 插件、主题等组件获取网站控制权，随后在网站文件和数据库中植入恶意代码。

其攻击过程主要涉及三个环节。

1. 植入恶意脚本

攻击者修改 WordPress 插件文件，通过 PHP 代码向网页加载额外的 JavaScript 脚本。部分恶意代码经过混淆处理，普通网站管理员很难直接发现。

2. 识别访客并实施跳转

恶意脚本会根据访客来源、浏览器环境等信息决定是否触发跳转。

研究发现，DollyWay 可以避开部分已登录管理员和自动化检测程序，使网站管理人员检查时看到正常页面，而普通用户却可能进入其他站点。

3. 通过流量分发系统牟利

攻击者利用 TDS（流量分发系统）及 C2（命令与控制）基础设施，将用户引导至其他页面。

这些页面可能涉及虚假中奖、数字资产骗局、欺诈性广告等内容。

因此，受害者不仅是网站运营者，也包括访问这些网站的普通用户。

⚠️ 为什么 DollyWay 难以彻底清除？

DollyWay 的危险之处在于持续驻留和自动重复感染。

GoDaddy 的技术分析发现，DollyWay v3 可以将恶意 PHP 代码注入多个已启用插件，并利用 WPCode 代码片段维持感染状态。

即使管理员手动删除部分恶意文件，只要其他插件或数据库中仍然残留恶意代码，网站就可能在后续页面访问中再次受到感染。

更隐蔽的是，部分变种还会隐藏恶意管理员账户、干扰安全插件运行，甚至主动更新 WordPress、清除其他恶意软件，以维持自身控制权。

这意味着，网站可以正常访问，并不代表网站没有被入侵。

📊 攻击规模与后续变化

根据 GoDaddy 公布的研究，截至 2025 年 2 月，研究人员曾观察到超过 1 万个受到感染的 WordPress 网站，每月涉及约 1000 万次加载恶意脚本的页面展示。

这一数据属于当时的研究观测结果，不能直接代表当前实时感染数量。

后续研究还发现，随着部分流量分发渠道受到干扰，DollyWay 相关基础设施开始调整流量变现方式，并与 Help TDS 等恶意流量分发体系存在关联。

这也反映出一个现实问题：攻击者可以不断替换控制节点、调整代码和跳转目标，单纯封禁几个可疑域名并不足以长期解决问题。

🛡️ WordPress 网站应该如何防范？

对于正在运营的 WordPress 网站，建议重点做好以下安全措施。

保持系统与插件更新。 及时安装经过验证的安全更新，删除长期不维护的主题和插件，减少已知漏洞被利用的机会。

限制后台访问权限。 为管理员账户设置独立强密码，开启多因素认证，并定期检查是否出现未知管理员账户。

监控文件和数据库变化。 重点检查插件目录、主题文件、WPCode 代码片段以及异常 PHP 文件，及时发现未经授权的修改。

加强网站入口防护。 可以通过蓝易云CDN的 WAF 语义智能引擎，对进入网站的 HTTP/HTTPS 请求进行安全检测，结合请求上下文、参数结构、恶意载荷特征及 JA4 指纹等信息，辅助识别 SQL 注入、XSS、命令注入等 Web 攻击行为。

同时，蓝易云CDN将网站加速、DDoS 防护、CC 防护和 WAF 防护相结合，可以帮助网站建立统一的流量安全防护入口，减少部分恶意请求直接到达源站的风险。

但需要明确，CDN 和 WAF 不能替代服务器内部安全检查，也无法保证拦截所有漏洞利用行为。 对于已经植入的 DollyWay 后门，仍然需要在源站进行排查与清理。

🚨 如果网站已经感染 DollyWay，该怎么办？

发现异常跳转后，不建议立即删除所有可疑文件。应当先保留必要日志和现场证据，对网站文件、数据库进行完整备份。

随后将网站切换到安全维护页面，暂停动态业务，避免清理过程中反复感染。

重点排查被修改的插件、恶意代码片段、未知管理员账户、数据库异常记录以及潜在后门。

对于无法确认完整性的文件，优先使用可信安装包重新部署。完成清理后，还需要更换管理员密码、数据库凭据及相关密钥，并检查是否存在信息泄露。

恢复业务前，应验证前台访问、后台管理、数据库完整性和异常跳转情况，确认问题已经得到解决。

结语

DollyWay 攻击事件说明，网站安全问题并不局限于服务器被直接攻破。

一个长期未更新的插件、一处存在风险的代码入口，都可能成为攻击者控制网站的突破口。

对于 WordPress 网站运营者而言，真正有效的安全措施不是等到网站发生异常后才处理，而是将漏洞修复、源站加固、WAF 防护、异常监控与应急响应结合起来。

蓝易云CDN建议网站运营者定期开展安全检查，尤其关注插件文件完整性、后台账户变化以及异常页面跳转行为，让潜在风险尽可能在影响正常用户之前被发现。