IIS托管站点上的安全性Wordpress。

从昨天开始，我的一个网站上发生了奇怪的事情。

我在IIS上的wordpress网站的index.php从1 kb更改为80 KB。该目录中的map.xml和sitemap.xml也是新的。在wp-content / themes或wp-content / includes文件中也找到了一些其他文件。像b.php或e.asp。

在日志中，我可以找到一个条目，该条目显示了我认为的过程。POST /wordpress/wordpress/wp-content/plugins/easyrotator-for-wordpress/b.php-80或POST /wp-content/themes/koppers12/library/e.asp | 26 | 800a0408 | Invalid_character 80

这可能与以下事实有关：我的安全性设置可能不太严格，但是我无法弄清楚如何加强安全性，但是无法让wordpress本身，主题和插件的更新机制起作用。

当前，整个网站的权限（iusr）设置为读写。如果我将其更改为只读，则由于权限较少，整个更新机制将失败

有什么方法可以防止在网站上注入不需要的文件，但又可以更新wordpress，主题和插件？

使用的注入方法可能是某些插件的利用，还是由于权限而使站点注入了不需要的文件？

（我已经阻止了引起这种情况的ip地址，但这并没有太大帮助，因为在其他ip地址/范围上已经可以看到这种注入方法。）

我遵循了这份效果很好的指南

https://codex.wordpress.org/Hardening_WordPress

请记住两点，如果要让多个用户将内容上载到您的站点，请撰写他们自己的文章，他们不仅应该在WordPress中具有特殊的特权帐户，而且在盒子上应具有规定的ftp用户帐户。该用户不应具有任何登录权限。

如果只有一个用户进行更改，请使用本地Windows帐户设置基本身份验证。当您点击链接添加媒体或进行更改时，系统将提示您输入用户名和密码。