站点被植入后门之后，一般都不会马上发作，而是潜伏一段时间再伺机而动。定期审计的作用就是把潜伏期截断在发现之前。
审计有三条线。文件线比对核心程序与官方版本的校验值，主题和插件目录单独扫描，重点查看最近修改时间异常的文件、命名随机的一层脚本、模板中夹带的编码内容；数据库线检查用户表是否多出管理员账户、选项表是否被写入陌生跳转地址、文章内容是否被批量插入隐藏链接；访问线从日志入手，筛选后台路径的成功登录记录、异常时段的管理操作、可疑的脚本调用与批量写入请求。
频率和深度要相配。日常使用自动化工具进行一次运行，每个月安排一次人工抽查，重点检查登录日志中是否有陌生的来源；一旦发现异常情况就启动应急预案，备份当前状态、隔离受影响的文件、修改所有的凭证，再判断是否需要整个网站重建。
审计结果要存档。每次记录的时间、发现的问题以及采取的措施都要记入台账中，下一轮审计时可以作为对比基准；同一种异常反复出现的话，一般就说明该入口没有被完全封住。
除了工具之外还要依靠纪律。审计中发现的入侵途径大多是老问题复发：忘记修改的默认账户、停止更新的插件、留有后门权限的老脚本，把这些项目列入月度清单逐一核对，比任何一次深度扫描都要有效。