Nicolas Korobochkin

Адреса сайта еще много где хранятся, не только в post_content. Взять хотя бы guid в той же таблице. И не стоит забывать про сериализованные значения, которые тупым реплейсом нельзя менять.

Можно переключаться между аккаунтами с помощью плагина https://wpmag.ru/2014/user-switching/

Вот несколько вариантов того, как можно изменить пароль https://wpmag.ru/2013/izmenit-parol-v-wordpress/

Взять кусок текста, который не перевелся и поискать его в исходниках темы. Вполне возможно, что текст задается через какую-то страницу настроек в административной части WP или вывод текста производится без участия языковых функций (__(), _e(), _x() и т. п.).

На самом деле по моим далеко не прошаренным знаниям в управлении серверами проблемы могут быть много где. Как и написали выше дырки могут быть как и в самом WordPress, его плагинах, темах и т. п., так и в настройках сервера:

1. Перебор паролей к FTP (нет никакого фаервола, который блокировал бы IP после пары неверных попыток).
2. Открытый доступ к БД из вне по логину и паролю (тоже можно перебором войти и добавить свои Cron-таски в WordPress БД и все, далее какой-нибудь bash-скрипт создастся и сервер взломан полностью).
3. Дырки в софте сервера (старый софт, пропатченный злоумышлениками софт).

При не очень правильной настройке сервера, а также должной настойчивости ломающих можно и в самой ОС сервера оставить запасные двери для перезалития всего, что у вас появилось. Можно дополнительную учетку создать, можно дополнительные SSH-ключи куда-нибудь в хитрое место прописать (и смена паролей рекомендованная выше не поможет, я например себе вообще выключал вход по паролям на сервер, оставив лишь ssh-ключи). Также злоумышленники могли поставить какой-то свой софт на сервер, который вы даже не увидите — через консоль вообще мало что видно, если вы не эксперт 🙂

Так что я бы рекомендовал еще и внимательно к серверу и его настройкам отнестись. Я считаю, что не будучи системным администратором по основному своему направлению работы, не стоит и браться за настройку серверов — это непростая работа, а чтобы диагностировать что-либо после взлома, так очевидно, что надо полностью разбираться в стуктуре ОС, понимать как работает каждое приложение, уметь анализировать логи и т. д.

Касательно самого WordPress проверить целостность ядра можно с помощью WP-CLI — там есть команда, которая проверяет все файлы ядра и говорит, изменены ли они или нет. http://wp-cli.org/commands/core/verify-checksums/

Резюмируя. Задумайтесь о смене VDS на хостинг, настройкой которого занимаются специальные люди. Несмотря на возможности полной настройки VPS (VDS) — это скорее бремя, чем преимущество, потому что держать свой выделенный сервер и заниматься его настройкой это дорого и сложно (можно настраивать самому, но выше было описано, почему этого делать не стоит). Хостинг не обязательно должен быть Shared, сейчас есть другие предложения, когда вам дают VPS без рута и настройкой занимаются специалисты. Например, https://pressjitsu.com — насколько я понимаю, один из основателей Константин Ковшенин 🙂

P. S. Прошу всех любителей VPS не ругаться и кричать, а реально подумать о том, сколько всего требуется для настройки сервера, ведь прочтением пары статей в сообществе Digital Ocean экспертом не станешь.

Либо админ бар как-то динамически решает показываться ему или нет, либо на некоторых страницах возникает фатальная ошибка в PHP и админ бар просто не выводится вообще (и конец страницы тоже). Проверить это можно открыв исходный код страницы. В Chrome это делается через дописывание view-source: перед адресом. Если в конце не будет тегов </body></html>, то значит где-то PHP крешится и тогда надо лезть в логи и смотреть где именно.

А зачем? Мне кажется 751 даже лучше.