WordPress不能自定义菜单速查手册：网站被黑挂马不知道怎么办？

网站被黑挂马不知道怎么办？你是不是也遇到过 WordPress 站点突然无法自定义菜单，后台菜单项莫名消失，甚至被插入了奇怪的链接？这不只是菜单配置的问题，很可能是网站安全被入侵的信号，而你却毫无察觉。

今天我们就来从一个真实的项目案例出发，帮你彻底搞懂“WordPress不能自定义菜单”这个问题的来龙去脉，顺便带你看一看如何快速识别网站是否被挂马，并给出一套速查手册级别的排查方案。

项目背景与需求

我们接到了一家中型外贸企业的求助，他们有一个用 WordPress 搭建的英文外贸网站，用于展示产品和承接询盘。站点使用了 Elementor 搭建，主题是 Astra，后台菜单配置一直正常，直到某天，网站管理员在更新 WordPress 核心版本后，发现后台“外观 > 菜单”功能无法使用，菜单项莫名消失，菜单栏也无法拖拽编辑。

更严重的是，他们发现网站页面中莫名出现了大量莫名其妙的外链，甚至有些页面被替换成钓鱼链接，搜索引擎抓取到这些页面后，网站排名大幅下滑，流量暴跌。他们意识到，这可能是网站被黑的征兆。

这时候，他们需要的不仅是一个菜单问题的修复方案，更需要一份速查手册级别的网站安全检查指南。

技术选型

我们首先对网站进行了初步检查，发现 WordPress 版本为 5.6，属于较旧版本，存在不少漏洞。主题和插件也未及时更新。这说明网站在基础安全维护方面存在严重问题。

为了解决菜单无法自定义的问题，我们决定采用以下技术方案：

1. WordPress 核心升级：将 WordPress 升级至最新版本（当前为 6.6.2），修复已知漏洞。
2. 主题与插件更新：更新 Astra 主题至最新版本，并检查所有插件是否兼容新版本。
3. 数据库检查：使用插件如 Better Search Replace 检查数据库中是否有异常内容。
4. 安全性插件安装：安装 Wordfence 或 iThemes Security，强化网站安全。
5. 服务器环境检查：检查服务器配置，查看是否存在异常的文件或日志记录。

此外，我们建议客户使用 Cloudflare 来加强网站的 CDN 和安全防护，其文档中对网站被黑后的修复步骤有详细说明，非常值得参考。

核心实现：修复菜单问题并排查网站被黑

1. 升级 WordPress 核心与插件

首先，登录 WordPress 后台，进入“仪表盘 > 更新”，将 WordPress 核心版本更新到最新。同时，升级 Astra 主题至最新版本，并确保所有插件也更新到最新，避免兼容性问题。

2. 使用代码重置菜单项

如果菜单无法显示，我们可以使用 PHP 代码临时重置菜单项。将以下代码添加到当前主题的 functions.php 文件中：

function reset_custom_menus() {// 重置菜单项wp_delete_post( get_option( 'nav_menu_selected_items' ), true );delete_option( 'nav_menu_selected_items' );
}
add_action( 'init', 'reset_custom_menus' );

此代码将删除所有当前选中的菜单项，然后重新生成菜单。注意：此操作会导致菜单项丢失，建议在备份后执行。

3. 检查数据库中的异常内容

使用插件 Better Search Replace 搜索数据库中是否存在异常的外链或脚本。例如，可以搜索关键词如 href="http:// 或 onclick="，查看是否被恶意插入。

此外，我们也可以使用 SQL 查询语句，手动检查数据库表：

SELECT * FROM wp_posts WHERE post_content LIKE '%http://%' OR post_content LIKE '%script%';

这将返回所有包含外链或脚本的内容，方便我们排查。

4. 安装安全插件并扫描网站

安装 Wordfence 插件后，立即运行全站扫描，检查是否存在恶意文件或后门。Wordfence 的扫描功能非常强大，可以检测出隐藏的 PHP 文件、异常的数据库记录以及可疑的登录行为。

如果 Wordfence 检测到恶意文件，可以直接通过插件删除，或者手动删除后重装 WordPress 核心和插件。

5. 使用 Cloudflare 增强网站防护

建议客户将网站接入 Cloudflare，使用其免费 CDN 服务，同时开启 Web Application Firewall (WAF) 功能，帮助拦截恶意请求。Cloudflare 文档中也提到，网站被黑后，应第一时间更换管理员密码、清理数据库、升级 WordPress，并启用 CDN 进行流量清洗。

上线与优化

在修复完菜单问题和网站安全问题后，我们对网站进行了如下优化：

1. 清理缓存与数据库

使用插件如 WP-Optimize 清理数据库碎片，删除无用的草稿、评论和缓存文件。这有助于提升网站性能，避免缓存文件中残留恶意内容。

2. 重新设置菜单结构

登录后台“外观 > 菜单”，重新创建菜单，并将菜单分配到对应页面中。如果菜单依然无法显示，可以尝试切换到默认主题，检查是否为当前主题的兼容性问题。

3. 检查 SEO 设置

确保 SEO 插件（如 Yoast SEO）已正确配置，页面标题和描述已优化，以避免因网站被黑后 SEO 排名受损。

4. 开启 SSL 并完成 ICP 备案

为提升网站安全性和信任度，建议客户启用 SSL 证书，确保网站使用 HTTPS。同时，如果网站在国内运营，应完成 ICP 备案，确保符合国家法规要求。

5. 定期安全巡检

建议客户每季度进行一次安全巡检，包括：

• WordPress 核心、主题和插件更新；
• 数据库备份；
• 安全插件扫描；
• 日志文件检查（如 Apache/Nginx 日志）；
• 定期更换管理员密码。

经验总结

通过这个项目，我们发现“WordPress不能自定义菜单”问题背后，往往隐藏着更深层次的安全隐患。许多网站管理员在遇到类似问题时，只会专注于菜单配置，而忽视了网站是否已被入侵。

常见的 WordPress 菜单问题原因

1. WordPress 版本过旧：未及时更新导致功能异常或被漏洞利用；
2. 插件或主题冲突：某些插件或主题不兼容，影响菜单功能；
3. 数据库异常：恶意代码修改了菜单配置，导致无法正常使用；
4. 网站被黑：被插入恶意代码，导致菜单配置失效，甚至页面被篡改。

建议网站管理员采取的措施

• 定期更新 WordPress、主题和插件；
• 启用网站安全插件，如 Wordfence 或 Sucuri；
• 备份网站和数据库，防止数据丢失；
• 开启 SSL 证书，提升网站可信度；
• 建议接入 CDN 服务，如 Cloudflare，增强网站安全性和访问速度。

你更倾向模板建站还是定制开发？欢迎评论，聊聊你的看法。