最近一个客户的网站被黑，他们注入了大量的恶意代码（在超过256个文件），我知道如何解码的恶意代码，并检查它做什么，但我想知道如果客户希望看到什么代码在他的网站上做了什么，黑客有什么类型的信息？我不完全确定如何为测试目的设置一个安全环境，以向客户展示发生的事情以及它显示的信息类型。如何安全地测试注入网站的恶意代码？
问题的更紧凑/简洁的版本是：
就个人而言，我有以下硬化的WordPress安装的WordPress，安装Wordfence，我从来没有过这样的问题，我应该做同样的客户端还是有其他措施来进一步确保WordPress站点？
注意：我知道这是StackOverflow中的一个'常见'问题，虽然他们都问如何阻止它或它做什么，我更感兴趣知道如何安全地运行它以用于演示目的，如果我目前的方法就足以扣留（或使其难以拉断）这种类型的攻击
最安全的选择将是把你的生产数据库的快照，并在生产环境中的所有文件拷贝到另一台服务器，并加载到一个测试环境与您的生产环境精确匹配，但它不适用于生产数据并且无法公开访问。另外防火墙，以便它不能访问互联网的情况下，恶意代码的目的是将数据发送到远程用户。然后运行该代码，并检查你的服务器日志和显示以及前后代码在运行之前和之后的代码在运行后与数据库中的图像进行测试场地的对比任何错误消息。
如果你觉得你的网站是由一些漏洞影响。在下面你可以找到一些有用的提示，以使您的网站安全。
将admin更改为WordPress（以及所有拥有管理员权限的用户）。
将FTP和CPanel凭据更改为将来安全。
更换可湿性粉剂管理员和WP-包括从最新的WordPress新鲜的源代码文件夹。
配置WordPress的安全插件之一。例如：
https://wordpress.org/plugins/wordfence/
https://wordpress.org/plugins/bulletproof-security/
https://wordpress.org/plugins/all-in-one-wp-security-and-firewall/
一旦你取得了网站的安全，安装https://wordpress.org/plugins/gotmls/，找到哪些文件受到影响。
您可以手动删除这些受影响的代码并将其清理干净。
如果您使用WordPress目录中的免费插件，只需将受影响的插件替换为新的更新版本即可。
按主题相同的步骤。
确保将所有插件和主题更新为最新版本。
您必须将WordPress版本更新到最新版本才能降低安全风险。
注意： - 可能有许多其他的解决方案，我已经共享了我下面的每一次我在面临同样的情况。
这不是OP要求的。 –
@AndyLester，那你为什么还没有回答OP要求的？ – Milap