Wp Malware Cleanup MCP

WordPress恶意软件清理MCP服务器

  

一个生产就绪的模型上下文协议（MCP）服务器，用于通过SSH和WP-CLI从WordPress网站中清除恶意软件。专为管理多个WordPress安装的机构和开发人员而设计。

作者 瓦伦·杜贝 公司： Wbcom设计 版本： 2.0.0

______________________________________________________________________

重要安全通知 此工具执行 不可逆操作 在实时WordPress网站上，包括文件删除， 数据库修改、密码重置和核心文件替换。 始终创建完整备份 在使用任何清理工具之前。 作者对数据丢失不承担责任。 看 工具风险矩阵 在......下面

______________________________________________________________________

托管公司和机构： 看 维基 用于设置指南、日常扫描自动化和托管公司剧本。

目录

• 开始之前
• 工具风险矩阵
• 特性
• 需求
• 安装
• 配置
• 快速开始
• 可用工具
• 使用示例
• 清理工作流程
• 安全注意事项
• 故障排除
• 贡献
• 许可证
• 学分

______________________________________________________________________

开始之前

在实时WordPress网站上使用任何清理或强化工具之前：

1. 创建完整服务器备份 （文件+数据库）。使用托管服务提供商的备份工具或：

   wp_backup_database("site-name")

仅凭数据库备份是不够的——备份整个数据库 wp-content/ 目录也是。

1. 先进行分段测试 如果可能的话。将受感染的站点克隆到临时环境，并在接触生产环境之前在那里运行清理。

1. 保持SSH会话打开 在清理过程中监视服务器。注意错误或意外行为。

1. 注意当前管理员密码 跑步前 wp_reset_passwords重置后，旧密码将永久消失。

1. 破坏性工具需要 confirm=True.工具如 wp_reinstall_core, wp_reset_passwords, wp_complete_cleanup等在调用时将显示预览清单 confirm=True在确认之前，请先查看舱单。

______________________________________________________________________

工具风险矩阵

所有工具分为三个风险等级：

安全（只读）

这些工具只读取数据。不会修改任何文件或数据库记录。

中等（可逆变化）

这些工具所做的更改可以撤消或自动创建备份。

破坏性（不可逆转——要求 confirm=True)

这些工具会永久删除文件、重置凭据或覆盖数据。 始终先创建备份。 标记有的工具 confirm 在不使用的情况下调用时将显示预览清单 confirm=True.

______________________________________________________________________

特性

多站点管理

• 从单个界面添加和管理20多个WordPress网站
• 持久配置存储
• 跨所有站点的批处理操作
• 状态跟踪和报告

全面的恶意软件扫描

• 核心文件验证 -与官方WordPress校验和进行比较
• 插件完整性检查 -根据WordPress.org验证插件
• MU插件检测 -扫描必须使用后门插件
• 上传安全 -查找不应存在的PHP文件
• 深度模式匹配 -检测模糊代码和已知签名
• 数据库注入扫描 -在帖子/选项中查找恶意内容
• 最近修改的文件 -确定感染时间线

用户安全

• 列出并审核管理员帐户
• 删除前跟踪用户活动
• 查找最近创建的可疑用户
• 安全删除用户并重新分配内容

安全清理作业

• 检疫制度 -移动文件而不是删除（允许恢复）
• 自动备份 -更改前的数据库导出
• 堆芯重新安装 -恢复官方WordPress文件
• 插件重新安装 -从存储库新安装
• 权限修复 -设置安全文件权限

安全强化

• 重置所有管理员密码
• 再生安全盐
• 禁用管理员文件编辑
• 添加.htaccess安全规则
• 更新WordPress、插件和主题

报告和记录

• 详细的清理报告
• 每个站点的操作日志记录
• 导出配置
• 状态摘要

______________________________________________________________________

需求

您的Mac（客户端）

• macOS 13+（Ventura或更高版本）
• 家酿
• 克劳德代码 命令行界面
• 紫外线 （Python包管理器）

WordPress服务器

• SSH访问（基于密码或密钥）
• WP-CLI已安装并位于PATH中
• WordPress 5.0+

______________________________________________________________________

macOS安装指南

在全新的Mac上从头开始完成设置。大约需要5分钟。

先决条件

• 家酿 安装
• 克劳德代码 已安装CLI
• 紫外线 已安装(curl -LsSf https://astral.sh/uv/install.sh | sh)

步骤1：安装系统依赖项

# Python 3.12 (macOS system Python is too old for the mcp package)
brew install python@3.12

# sshpass (required for password-based SSH auth)
brew install sshpass

步骤2：克隆存储库

git clone https://github.com/vapvarun/wp-malware-cleanup-mcp.git ~/.claude/wp-malware-cleanup-mcp
cd ~/.claude/wp-malware-cleanup-mcp

步骤3：创建虚拟环境并安装依赖项

# Create venv with Python 3.12
uv venv --python 3.12 .venv

# Install dependencies into venv
uv pip install -r requirements.txt

步骤4：使用Claude代码注册MCP服务器

# Register globally (available in all Claude Code sessions)
claude mcp add -s user wp-malware-cleanup -- \
  ~/.claude/wp-malware-cleanup-mcp/.venv/bin/python \
  ~/.claude/wp-malware-cleanup-mcp/server.py

步骤5：验证

claude mcp list
# Should show: wp-malware-cleanup: ... ✓ Connected

步骤6：重新启动Claude代码

关闭并重新打开Claude Code，以便加载新的MCP工具。

______________________________________________________________________

配置

克劳德代码（推荐）

这 claude mcp add 步骤4中的命令会自动写入 ~/.claude.json:

{
  "mcpServers": {
    "wp-malware-cleanup": {
      "command": "/Users/YOU/.claude/wp-malware-cleanup-mcp/.venv/bin/python",
      "args": ["/Users/YOU/.claude/wp-malware-cleanup-mcp/server.py"]
    }
  }
}

克劳德桌面（可选）

增添 ~/Library/Application Support/Claude/claude_desktop_config.json:

{
  "mcpServers": {
    "wp-malware-cleanup": {
      "command": "/Users/YOU/.claude/wp-malware-cleanup-mcp/.venv/bin/python",
      "args": ["/Users/YOU/.claude/wp-malware-cleanup-mcp/server.py"]
    }
  }
}

注： 替换 /Users/YOU 使用您的实际主目录路径。

数据存储位置

服务器将数据存储在 ~/.wp-malware-cleanup/:

~/.wp-malware-cleanup/
├── sites.json          # Site configurations
├── quarantine/         # Quarantined malicious files
├── reports/            # Generated cleanup reports
└── logs/               # Per-site action logs

______________________________________________________________________

快速开始

安装后，重新启动Claude Code并在对话中使用这些工具：

1.添加您的第一个网站

使用密码验证 （常见于InstaWP，托管主机）：

wp_add_site(
    name="my-site",
    host="147.182.198.163",
    username="sshuser",
    wp_path="/home/sshuser/web/example.com",
    auth_type="password",
    site_url="https://example.com"
)

使用SSH密钥身份验证 （推荐用于生产）：

wp_add_site(
    name="client-blog",
    host="example.com",
    username="deploy",
    wp_path="/var/www/html",
    auth_type="key",
    key_path="~/.ssh/id_rsa"
)

2.测试连接

# Password auth - provide password each time (not stored on disk for security)
wp_test_connection("my-site", password="your-ssh-password")

# Key auth - no password needed
wp_test_connection("client-blog")

安全说明： 密码从不存储在磁盘上。它们通过 SSHPASS 运行时的环境变量，并在SSH会话结束后丢弃。

3.运行完整扫描

wp_full_scan("my-site", password="your-ssh-password")

4.查看所有网站

wp_list_sites()

______________________________________________________________________

可用工具

站点管理

扫描工具

用户审核工具

清理工具

安全强化

数据库工具

批量操作

报告

案例研究

匿名恶意软件案例研究可在 docs/case-studies/这些文件记录了现实世界中的感染情况：

• 检测特征和IOC
• 代码分析和行为
• 补救步骤
• 经验教训

威胁情报数据库

______________________________________________________________________

使用示例

添加多个站点

# Site with SSH key
wp_add_site(
    name="site1",
    host="server1.example.com",
    username="deploy",
    wp_path="/var/www/site1",
    auth_type="key",
    key_path="~/.ssh/id_rsa"
)

# Site with different port
wp_add_site(
    name="site2",
    host="server2.example.com",
    port=2222,
    username="admin",
    wp_path="/home/admin/public_html",
    auth_type="key",
    key_path="~/.ssh/server2_key"
)

批量扫描所有站点

# Scan all sites
wp_batch_scan()

# Scan only pending sites
wp_batch_scan(status_filter="pending")

完成清理工作流程

# 1. Backup first!
wp_backup_database("infected-site")

# 2. Run full scan
wp_full_scan("infected-site")

# 3. Audit suspicious users
wp_list_admins("infected-site")
wp_audit_user("infected-site", "suspicious_user")

# 4. Delete malicious user
wp_delete_user("infected-site", "suspicious_user", "real_admin", confirm=True)

# 5. Clean malicious files
wp_clean_uploads_php("infected-site", confirm=True)
wp_remove_mu_plugin("infected-site", "malware.php")

# 6. Reinstall core and plugins (confirm=True required for destructive tools)
wp_reinstall_core("infected-site", confirm=True)

# 7. Harden security (confirm=True required)
wp_reset_passwords("infected-site", confirm=True)
wp_regenerate_salts("infected-site", confirm=True)
wp_disable_file_editing("infected-site")
wp_add_security_htaccess("infected-site")

# 8. Update everything
wp_update_all("infected-site")

# 9. Verify cleanup
wp_full_scan("infected-site")

# 10. Generate report
wp_generate_report("infected-site")

一个命令清理（带预览）

# Preview what will happen (dry run — no changes made)
wp_complete_cleanup("infected-site")

# Review the manifest, then execute
wp_complete_cleanup("infected-site", confirm=True)

______________________________________________________________________

清理工作流程

第一阶段：评估

1. 备份数据库

   wp_backup_database("site-name")

1. 运行完整扫描

   wp_full_scan("site-name")

1. 检查最近修改的文件

   wp_scan_recently_modified("site-name", days=14)

第二阶段：用户审核

1. 列出管理员用户

   wp_list_admins("site-name")

1. 查找最近的用户

   wp_find_recent_users("site-name", days=30)

1. 审计可疑用户

   wp_audit_user("site-name", "suspicious_username")

1. 删除恶意用户

   wp_delete_user("site-name", "hacker", "legitimate_admin", confirm=True)

第3阶段：文件清理

1. 清理上传目录

   wp_clean_uploads_php("site-name", confirm=True)

1. 删除恶意MU插件

   wp_scan_mu_plugins("site-name")
   wp_remove_mu_plugin("site-name", "malware.php")

1. 隔离可疑文件

   wp_quarantine_file("site-name", "/full/path/to/file.php")

第四阶段：核心修复

1. 重新安装WordPress核心 （先预览，然后确认）

   wp_reinstall_core("site-name")              # Preview manifest
   wp_reinstall_core("site-name", confirm=True) # Execute

1. 验证核心文件

   wp_verify_core("site-name")

1. 重新安装受影响的插件

   wp_reinstall_plugin("site-name", "plugin-slug")

第五阶段：强化安全

1. 重置所有密码 （先预览，然后确认）

   wp_reset_passwords("site-name")              # Preview affected users
   wp_reset_passwords("site-name", confirm=True) # Execute

> 安全地保存新密码！

1. 再生盐 （先预览，然后确认）

   wp_regenerate_salts("site-name")              # Preview
   wp_regenerate_salts("site-name", confirm=True) # Execute

1. 禁用文件编辑

   wp_disable_file_editing("site-name")

1. 添加安全规则

   wp_add_security_htaccess("site-name")

1. 修复权限

   wp_fix_permissions("site-name")

第6阶段：更新和验证

1. 更新一切

   wp_update_all("site-name")

1. 最终验证扫描

   wp_full_scan("site-name")

1. 生成报告

   wp_generate_report("site-name")

______________________________________________________________________

安全注意事项

SSH密钥身份验证（推荐）

始终使用SSH密钥而不是密码：

# Generate SSH key
ssh-keygen -t ed25519 -C "malware-cleanup"

# Copy to server
ssh-copy-id -i ~/.ssh/id_ed25519 user@server

数据存储安全

• 站点配置存储在本地 ~/.wp-malware-cleanup/
• 密码从不存储 -在运行时提供它们
• 隔离文件保存在远程服务器上
• 报告可能包含敏感信息-安全存储

最小特权原则

• 使用专用SSH用户进行清理操作
• 仅授予必要的权限
• 考虑对特定的WP-CLI命令使用sudo

审计跟踪

所有操作都记录到 ~/.wp-malware-cleanup/logs/{site-name}.log

______________________________________________________________________

故障排除

“连接被拒绝”或“连接超时”

1. 验证主机名和端口是否正确
2. 检查服务器上是否正在运行SSH
3. 验证防火墙是否允许SSH连接
4. 手动测试： ssh -p PORT user@host

“未找到WP-CLI”

在WordPress服务器上安装WP-CLI：

curl -O https://raw.githubusercontent.com/wp-cli/builds/gh-pages/phar/wp-cli.phar
chmod +x wp-cli.phar
sudo mv wp-cli.phar /usr/local/bin/wp

“权限被拒绝”

1. 检查SSH密钥权限： chmod 600 ~/.ssh/id_rsa
2. 验证用户是否有权访问WordPress目录
3. 检查用户是否可以运行WP-CLI： wp --info

“未找到sshpass”

如果使用密码身份验证：

• Ubuntu/Debian： sudo apt install sshpass
• macOS： brew install hudochenkov/sshpass/sshpass
• 推荐： 改用SSH密钥

命令超时

对于大型站点，请增加超时时间：

• 数据库导出可能需要更长的时间
• 在大型网站上进行全面扫描需要更多时间
• 考虑在低流量时段运行扫描

恶意软件扫描中的误报

一些合法代码可能会引发误报：

• 插件中的Base64编码（例如，用于图像处理）
• 精简的JavaScript
• 供应商库

在采取行动之前，手动检查每个发现。

______________________________________________________________________

威胁情报与自动学习

该项目包括一个威胁情报数据库 每次清理都会自动学习无需手动操作——每次扫描和清理操作都会将数据反馈到本地数据库中。

自动学习管道

每个检测和清理操作都会自动记录到威胁数据库中：

这意味着：

• 隔离文件会自动识别 如果相同的哈希出现在另一个站点上
• cleanup_records 为所有站点的每个操作构建可搜索的历史记录
• 所有录音都是最好的努力 --数据库故障永远不会阻止清理操作

社区数据库

与社区贡献的签名同步并回馈：

# Sync latest signatures from GitHub
wp_threat_db_sync()

# Check current database stats (includes cleanup_records count)
wp_threat_db_stats()

# After confirming malware, teach the system
wp_threat_learn_from_cleanup("/path/to/malware.php", "abc123hash", "backdoor", "Description")

# Export for contribution
wp_threat_export()

社区文件

安全特性

• 安全随机文件名：所有备份文件、报告和隔离目录都使用加密安全的随机名称，以防止攻击者猜测文件位置
• 受限权限：创建具有700个权限的隔离和备份目录
• 没有可预测的路径：文件命名使用基于SHA256的随机标记

______________________________________________________________________

贡献

欢迎投稿！拜托：

1. 克隆该仓库
2. 创建要素分支
3. 进行更改
4. 提交拉取请求

贡献签名

要提供恶意软件签名：

1. 使用 wp_threat_export() 导出您的本地签名
2. 分叉此存储库
3. 将您的签名添加到 community-signatures.json 或 community-hashes.json
4. 提交一个拉取请求，描述签名检测到的恶意软件

指导方针：

• 仅提交已确认的恶意软件签名
• 包括清晰的描述
• 提交前测试假阳性
• 不包括敏感信息

开发设置

git clone https://github.com/vapvarun/wp-malware-cleanup-mcp.git
cd wp-malware-cleanup-mcp
pip install -e .

运行测试

python -m pytest tests/

______________________________________________________________________

许可证

此项目根据MIT许可证获得许可-请参阅 许可证 文件以获取详细信息。

______________________________________________________________________

学分

作者 瓦伦·杜贝 公司： Wbcom设计

构建于

• 模型上下文协议（MCP） -LLM集成协议
• WP-CLI -WordPress的命令行界面
• FastMCP -Python MCP服务器框架

致谢

• WordPress安全团队提供安全最佳实践
• WP-CLI社区的优秀命令行工具
• 模型上下文协议规范的拟人化

______________________________________________________________________

支持

有关支持、问题或自定义开发：

• 网站： https://wbcomdesigns.com
• GitHub问题： 报告错误

______________________________________________________________________

更新日志

2.0.0版本（2026年）

• 自动学习管道 --每次扫描/清理操作都会自动记录到威胁数据库中
• 跨站点哈希识别——在其他站点上自动检测隔离文件
• SSH连接池和线程安全的DB连接
• 使用TTL和预编译正则表达式进行签名缓存
• 新工具： wp_scan_hidden_plugins, wp_scan_themes, wp_clean_core_injections, wp_delete_malware_options, wp_revoke_app_passwords, wp_complete_cleanup, wp_scan_hidden_admins, wp_scan_app_passwords, wp_scan_webshells, wp_harden_wpconfig, wp_install_security_mu_plugin, wp_full_harden, wp_generate_case_study
• Patchstack和WPScan提要集成
• 匿名案例研究生成
• v2配置、模型和utils模块

版本1.0.0（2024）

• 初始版本
• 多站点管理
• 全面的恶意软件扫描
• 用户审计功能
• 安全清理作业
• 安全强化工具
• 批量操作
• 详细报告