Взломали мой сайт на WordPress и проиндексировали сотни тысяч страниц

Коллизии случаются, когда при снятии защиты, имеем сайт с шеллом внутри))

Интересно узнать, кто какие плагины сразу же ставит на новый сайт для защиты? Или без плагинов обходитесь, например, чтобы закрыть доступ в админку и к другим важным папкам на сайте?

Тему прочитать?

Поставьте запрет на доступ папки админ, Про разрешения себе не забудьте

запрет  файл логин
<Files wp-login.php>
Deny from All
Allow from  ВашIP.63.1.1
Allow from  ВашIP.63.0.0/16  #если ваш IP динамический
</files>

защитите папку инклудес
# Block wp-includes folder and files
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteBase /
RewriteRule ^wp-admin/includes/ - [F,L]
RewriteRule !^wp-includes/ - [S=3]
RewriteRule ^wp-includes/[^/]+\.php$ - [F,L]
RewriteRule ^wp-includes/js/tinymce/langs/.+\.php - [F,L]
RewriteRule ^wp-includes/theme-compat/ - [F,L]
</IfModule>

Запрет в конфиге на изменение файлов шаблона
define('DISALLOW_FILE_EDIT',true);
define('DISALLOW_FILE_MODS', true);

#В последнее время, такую конструкцию добавил

#защита от ссылочного спама
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{THE_REQUEST} \?option=(.*)$ [OR]
RewriteCond %{THE_REQUEST} \?go=(.*)$
RewriteRule .* /$0 [R=404,L]
</IfModule>
#И все равно закрываем вебстатистику сервера
RewriteRule webstat/(.*) https://домен.ru [R=301,L]

#  закрываем перебор /? , если нужно добавить исключение например для меток /?utm= добавляем в исключения
# Если нужен поиск по сайту добавляем в исключения, в данном случае он закрыт /?s=

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{REQUEST_URI} !^/wp-admin/
RewriteCond %{REQUEST_URI} !^/wp-login.php
RewriteCond %{REQUEST_URI} !^/wp-json/
RewriteCond %{REQUEST_URI} !^/wp-cron.php
RewriteCond %{REQUEST_URI} !^/wp-comments-post.php
RewriteCond %{REQUEST_URI} !^/index.php
RewriteCond %{THE_REQUEST} \?
RewriteRule ^(.*)$ /$1? [R=301,L]
</IfModule>

От себя могу посоветовать All In One WP Security, плагин бесплатный и прост в настройке.

Всегда интересно было - а как они шеллы заливают? Механизьм?

- Через дыры сервера сайта и тд. Поиск ведется примерно так
проверить права на запись можно так - site.com/index.php?id=1+and+1=0+union+Select+1,'prava',3+from+mysql.user+--+

Поэтому (выше пост) и закрываем все, что связано с поиском инфы нашего сайта сервера

RewriteCond %{THE_REQUEST} \?
RewriteRule ^(.*)$ /$1? [R=301,L]

- Через тему ( шаблон) с вирусом ( шеллом )

- Через вирус на вашем компе: логины пароли в открытом доступе или мыле

И еще поди куча способов